Уязвимост в пакета pac-resolver NPM с 3 милиона изтегляния на седмица

Пакетът pac-resolver NPM, който има над 3 милиона изтегляния на седмица, има уязвимост (CVE-2021-23406), която позволява неговият JavaScript код да бъде изпълнен в контекста на приложението, когато изпраща HTTP заявки от Node.js проекти, които поддържа функция за автоматично конфигуриране на прокси сървър.

Пакетът pac-resolver анализира PAC файлове, които включват скрипт за автоматично конфигуриране на прокси. PAC файлът съдържа обикновен JavaScript код с функция FindProxyForURL, която дефинира логиката за избор на прокси в зависимост от хоста и заявения URL адрес. Същността на уязвимостта е, че за изпълнението на този JavaScript код в pac-resolver е използван VM API, предоставен в Node.js, който ви позволява да изпълнявате JavaScript код в различен контекст на двигателя V8.

Посоченият API е изрично маркиран в документацията като непредназначен за изпълнение на ненадежден код, тъй като не осигурява пълна изолация на изпълнявания код и позволява достъп до оригиналния контекст. Проблемът е решен в pac-resolver 5.0.0, който е преместен да използва библиотеката vm2, която осигурява по-високо ниво на изолация, подходящо за изпълнение на ненадежден код.

Когато използва уязвима версия на pac-resolver, нападателят чрез предаване на специално проектиран PAC файл може да постигне изпълнение на своя JavaScript код в контекста на кода на проект, използващ Node.js, ако този проект използва библиотеки, които имат зависимости с pac-разрешител. Най-популярната от проблемните библиотеки е Proxy-Agent, посочена като зависимост от 360 проекта, включително urllib, aws-cdk, mailgun.js и firebase-tools, с общо повече от три милиона изтегляния на седмица.

Ако приложение, което има зависимости от pac-resolver, зареди PAC файл, предоставен от система, която поддържа протокола за автоматично конфигуриране на прокси WPAD, тогава нападателите с достъп до локалната мрежа могат да използват разпространението на настройките на прокси чрез DHCP, за да вмъкнат злонамерени PAC файлове.

Източник: opennet.ru