🥇Zranitelnost v NPM umožňující změnu libovolných souborů při instalaci balíčku

V aktualizaci správce balíčků NPM 6.13.4, která je součástí dodávky Node.js a používá se k distribuci modulů v jazyce JavaScript, odstraněny tři zranitelnosti (CVE-2019-16775, CVE-2019-16776 a CVE-2019-16777), umožňují modifikaci nebo přepsání libovolných systémových souborů při instalaci balíčku připraveného útočníkem. Jako obranou proti tomuto se může použít instalace s volbou „—ignore-scripts“, která zakazuje provádění vestavěných zpracovatelů balíčků. Vývojáři NPM analyzovali balíčky v repozitáři a nenašli žádné stopy použití zjištěných problémů k provedení útoků.

CVE-2019-16777 se projevuje v verzích před 6.13.4 a umožňuje přepisování systémových spustitelných souborů během globální instalace balíčku. Může být nahrazena pouze soubory v cílovém adresáři, kam se instalují spustitelné soubory (obvykle /usr/local/bin).

CVE-2019-16775 a CVE-2019-16776 se projevují ve verzích před 6.13.3 a umožňují zapsat libovolný soubor vytvořením symbolického odkazu na soubory mimo adresář s moduly (node_modules) nebo manipulacemi s polem bin v package.json (v poli bin bylo povoleno použití cest s „/../“).

Zdroj: opennet.ru

Zranitelnost v NPM, umožňující změnu libovolných souborů při instalaci balíčku