NPM-এর দুর্বলতা যা সিস্টেমে ফাইলগুলিকে ওভাররাইট করার দিকে নিয়ে যায়

GitHub tar এবং @npmcli/arborist প্যাকেজে সাতটি দুর্বলতার বিবরণ প্রকাশ করেছে, যা tar আর্কাইভের সাথে কাজ করার জন্য এবং Node.js-এ নির্ভরতা ট্রি গণনা করার জন্য ফাংশন প্রদান করে। দুর্বলতাগুলি, একটি বিশেষভাবে ডিজাইন করা সংরক্ষণাগার আনপ্যাক করার সময়, বর্তমান অ্যাক্সেস অধিকারগুলি যতদূর অনুমতি দেয়, সেই রুট ডিরেক্টরির বাইরে ফাইলগুলিকে ওভাররাইট করার অনুমতি দেয় যেখানে আনপ্যাকিং করা হয়৷ সমস্যাগুলি সিস্টেমে নির্বিচারে কোডের সম্পাদনকে সংগঠিত করা সম্ভব করে, উদাহরণস্বরূপ, ~/.bashrc বা ~/.প্রোফাইলে কমান্ড যোগ করার মাধ্যমে যখন কোনো সুবিধাবিহীন ব্যবহারকারীর দ্বারা একটি অপারেশন করা হয়, অথবা সিস্টেম ফাইলগুলি প্রতিস্থাপন করার মাধ্যমে মূল

এনপিএম প্যাকেজগুলির সাথে ক্রিয়াকলাপ সম্পাদন করার সময় এনপিএম প্যাকেজ ম্যানেজারে সমস্যাযুক্ত কোডটি ব্যবহার করা হয় এই কারণে দুর্বলতার বিপদ আরও বেড়ে যায়, যা সংগ্রহস্থলে একটি বিশেষভাবে ডিজাইন করা এনপিএম প্যাকেজ স্থাপন করে ব্যবহারকারীদের উপর আক্রমণ সংগঠিত করা সম্ভব করে তোলে, প্রক্রিয়াকরণ। যার মধ্যে আক্রমণকারীর কোড সিস্টেমে কার্যকর করবে। এমনকি "-ignore-scripts" মোডে প্যাকেজ ইনস্টল করার সময়ও আক্রমণ সম্ভব, যা অন্তর্নির্মিত স্ক্রিপ্টগুলির সম্পাদনকে অক্ষম করে। মোট, npm সাতটির মধ্যে চারটি দুর্বলতা (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 এবং CVE-2021-39135) প্রভাবিত করে। প্রথম দুটি সমস্যা টার প্যাকেজ, এবং বাকি দুটি সমস্যা @npmcli/arborist প্যাকেজ নিয়ে।

সবচেয়ে বিপজ্জনক দুর্বলতা, CVE-2021-32804, এই কারণে ঘটে যে টার আর্কাইভে নির্দিষ্ট করা পরম পাথগুলি পরিষ্কার করার সময়, বারবার "/" অক্ষরগুলি ভুলভাবে প্রক্রিয়া করা হয় - শুধুমাত্র প্রথম অক্ষরটি সরানো হয়, বাকিগুলি বাকি থাকে৷ উদাহরণস্বরূপ, "/home/user/.bashrc" পাথটিকে "home/user/.bashrc" এবং পাথ "//home/user/.bashrc" থেকে "/home/user/.bashrc" এ রূপান্তরিত করা হবে। দ্বিতীয় দুর্বলতা, CVE-2021-37713, শুধুমাত্র উইন্ডোজ প্ল্যাটফর্মে প্রদর্শিত হয় এবং এটি আপেক্ষিক পাথগুলির ভুল পরিস্কারের সাথে যুক্ত যাতে একটি সীমাহীন ড্রাইভ অক্ষর (“C:some\path”) এবং পূর্ববর্তী ডিরেক্টরিতে ফিরে যাওয়ার একটি ক্রম অন্তর্ভুক্ত থাকে ( "C:../foo")।

দুর্বলতা CVE-2021-39134 এবং CVE-2021-39135 @npmcli/আরবোরিস্ট মডিউলের জন্য নির্দিষ্ট। প্রথম সমস্যাটি কেবলমাত্র সেই সিস্টেমগুলিতে দেখা যায় যেগুলি ফাইল সিস্টেমের অক্ষরগুলির ক্ষেত্রে পার্থক্য করে না (macOS এবং Windows), এবং আপনাকে নির্ভরশীলতার মধ্যে দুটি মডিউল '"foo" নির্দিষ্ট করে ফাইল সিস্টেমের একটি নির্বিচারে ফাইল লেখার অনুমতি দেয়। : "file:/some/path"' এবং 'FOO: "file:foo.tgz"', যার প্রক্রিয়াকরণের ফলে /some/path ডিরেক্টরির বিষয়বস্তু মুছে ফেলা হবে এবং foo.tgz-এর বিষয়বস্তু এতে লেখা হবে। দ্বিতীয় সমস্যাটি ফাইলগুলিকে প্রতীকী লিঙ্ক ম্যানিপুলেশনের মাধ্যমে ওভাররাইট করার অনুমতি দেয়।

দুর্বলতাগুলি সমাধান করা হয়েছে Node.js রিলিজ 12.22.6 এবং 14.17.6, npm CLI 6.14.15 এবং 7.21.0, এবং পৃথক tar প্যাকেজ রিলিজ 4.4.19, 5.0.11, এবং 6.1.10। "বাগ বাউন্টি" উদ্যোগের অংশ হিসাবে সমস্যা সম্পর্কে তথ্য পাওয়ার পরে, গিটহাব গবেষকদের $14500 প্রদান করেছে এবং সংগ্রহস্থলের বিষয়বস্তু স্ক্যান করেছে, যা দুর্বলতাগুলিকে কাজে লাগানোর প্রচেষ্টা প্রকাশ করেনি। এই সমস্যাগুলির বিরুদ্ধে সুরক্ষার জন্য, GitHub NPM প্যাকেজগুলি প্রকাশ নিষিদ্ধ করেছে যার মধ্যে প্রতীকী লিঙ্ক, হার্ড লিঙ্ক এবং সংগ্রহস্থলের পরম পথ রয়েছে।

উত্স: opennet.ru