🥇Уязвимост в NPM, позволяваща промяна на произволни файлове при инсталиране на пакет

В актуализацията на пакетния мениджър NPM 6.13.4, който идва с Node.js и се използва за разпространение на модули на JavaScript, отстранени три уязвимости (CVE-2019-16775, CVE-2019-16776 и CVE-2019-16777), позволяваща модифициране или презаписване на произволни системни файлове при инсталиране на пакет, подготвен от злонамерен потребител. В защитно решение може да се използва опцията '—ignore-scripts', която забранява изпълнението на вградени обработчици на пакети. Разработчиците на NPM анализираха наличните пакети в хранилището и не намериха следи от използване на откритите проблеми за атаки.

CVE-2019-16777 се проявява в версиите преди 6.13.4 и позволява презаписването на системни изпълними файлове в процеса на глобална инсталация на пакет. Може да се подменят само файлове в целевата директория, където се инсталират изпълними файлове (обикновено /usr/local/bin).

CVE-2019-16775 и CVE-2019-16776 се проявяват в версиите преди 6.13.3 и позволяват записването на произволен файл чрез създаване на символична връзка към файлове извън директорията с модулите (node_modules) или чрез манипулации с полето bin в package.json (в полето bin беше разрешено използването на пътища с '/../').

Източник: opennet.ru