🥇Sårbarhed i NPM, der gør det muligt at ændre vilkårlige filer ved installation af en pakke

I opdateringen af pakkehåndtereren NPM 6.13.4, som er inkluderet i Node.js-distributionen og bruges til distribuerer moduler i JavaScript, er blevet rettet tre sårbarheder (CVE-2019-16775, CVE-2019-16776 og CVE-2019-16777), der tillader ændring eller overskrivning af vilkårlige systemfiler ved installation af et pakke, der er udarbejdet af en angriber. En mulighed for at undgå angrebet kan være at installere med indstillingen "--ignore-scripts", der forhindrer udførelse af indbyggede pakkeudviklere. NPM-udviklerne har analyseret pakkerne i deres repository og fundet ingen spor af udnyttelse af de identificerede problemer til at gennemføre angreb.

CVE-2019-16777 optræder i versioner før 6.13.4 og tillader overskrivning af systemkørbare filer under den globale installation af en pakke. Kun filer i målmappen, hvor de kørbare filer installeres (normalt /usr/local/bin), kan overskrives.

CVE-2019-16775 og CVE-2019-16776 ses i versioner før 6.13.3 og tillader skrivning af vilkårlige filer ved at oprette symboliske links til filer uden for mappen med modulerne (node_modules) eller ved at manipulere med bin-feltet i package.json (i bin-feltet var det tilladt at bruge stier med "../").

Kilde: opennet.ru

Sårbarhed i NPM, der muliggør ændring af vilkårlige filer ved installation af pakken