Уязвимост в NPM, която позволява произволни файлове да бъдат модифицирани по време на инсталиране на пакет

В актуализацията на мениджъра на пакети NPM 6.13.4, включен в дистрибуцията Node.js и използван за разпространение на модули на езика JavaScript, елиминиран три уязвимости (CVE-2019 16775-, CVE-2019 16776- и CVE-2019 16777-), което позволява произволни системни файлове да бъдат модифицирани или презаписани при инсталиране на пакет, подготвен от атакуващ. Като заобиколно решение за защита можете да го инсталирате с опцията „-ignore-scripts“, която забранява изпълнението на вградени пакети за обработка. Разработчиците на NPM анализираха наличните пакети в хранилището и не откриха следи от идентифицираните проблеми, използвани за извършване на атаки.

CVE-2019 16777- проявява във версии преди 6.13.4 и ви позволява да презаписвате системни изпълними файлове по време на глобалната инсталация на пакета. Можете да замените само файлове в целевата директория, където са инсталирани изпълнимите файлове (обикновено /usr/local/bin).

CVE-2019 16775- и CVE-2019 16776- се появяват в версии преди 6.13.3 и ви позволяват да напишете произволен файл чрез създаване на символна връзка към файлове извън директорията с модули (node_modules) или чрез манипулиране на полето bin в package.json (пътищата с „/../“ бяха позволено в полето bin).

Източник: opennet.ru