{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"S\u00e5rbarhed i NPM, der f\u00f8rer til overskrivning af filer i systemet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub har afsl\u00f8ret detaljer om syv s\u00e5rbarheder i pakkerne tar og @npmcli\/arborist, som giver funktioner til h\u00e5ndtering af tar-arkivfiler og beregning af afh\u00e6ngighedstr\u00e6er i Node.js. S\u00e5rbarhederne g\u00f8r det muligt at overskrive filer uden for rodkataloget ved udpakning af et specielt tilrettelagt arkiv, s\u00e5 l\u00e6nge de nuv\u00e6rende adgangsrettigheder tillader det. Problemerne giver mulighed for at udf\u00f8re vilk\u00e5rlig kode i systemet, for eksempel ved at tilf\u00f8je kommandoer i ~\/.bashrc eller ~\/.profile, n\u00e5r en ikke-privilegeret bruger udf\u00f8rer operationen eller ved at erstatte systemfiler, n\u00e5r den k\u00f8res med root-rettigheder. <\/p>\n
Faren ved s\u00e5rbarhederne forv\u00e6rres af det faktum, at den problematiske kode anvendes i pakkemanageren npm under operationer med npm-pakker, hvilket muligg\u00f8r angreb p\u00e5 brugerne ved at uploade en specielt udformet npm-pakke i et repository. Ved behandlingen af denne pakke vil angriberens kode blive udf\u00f8rt i systemet. Angrebet er muligt, selv n\u00e5r pakker installeres med flaget «—ignore-scripts», der deaktiverer udf\u00f8relsen af indbyggede scripts. I alt ber\u00f8rer npm fire s\u00e5rbarheder (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 og CVE-2021-39135) ud af syv. De f\u00f8rste to problemer vedr\u00f8rer pakken tar, og de \u00f8vrige to vedr\u00f8rer pakken @npmcli\/arborist. <\/p>\n
Den mest alvorlige s\u00e5rbarhed, CVE-2021-32804, opst\u00e5r, fordi reng\u00f8ringen af de angivne absolutte stier i tar-arkivet ikke h\u00e5ndteres korrekt ved gentagne skr\u00e5streg-tegn «\\\/» \u2014 kun det f\u00f8rste tegn fjernes, mens de \u00f8vrige forbliver. For eksempel vil stien «\\\/home\\\/user\\\/.bashrc» blive transformeret til «home\\\/user\\\/.bashrc», mens stien «\\\/\\\/home\\\/user\\\/.bashrc» bliver til «\\\/home\\\/user\\\/.bashrc». Den anden s\u00e5rbarhed, CVE-2021-37713, opst\u00e5r kun p\u00e5 Windows-platformen og er relateret til forkert h\u00e5ndtering af relative stier, der inkluderer et uadskilt drevtegn («C:some\\path») og sekvenser til at vende tilbage til det forrige katalog («C:..\\\/foo»). <\/p>\n
S\u00e5rbarhederne CVE-2021-39134 og CVE-2021-39135 er specifikke for modulet @npmcli\/arborist. Det f\u00f8rste problem opst\u00e5r kun p\u00e5 systemer, der ikke skelner mellem store og sm\u00e5 bogstaver i filsystemet (macOS og Windows), og g\u00f8r det muligt at skrive filer til vilk\u00e5rlige dele af filsystemet ved at inkludere to moduler i afh\u00e6ngighederne: ‘»foo»: «file:\\\/some\\\/path»‘ og ‘FOO: «file:foo.tgz»‘, hvis behandling vil f\u00f8re til, at indholdet af kataloget \\\/some\\\/path fjernes, og indholdet af foo.tgz skrives til det. Den anden s\u00e5rbarhed giver mulighed for at overskrive filer gennem manipulation af symbolske links. <\/p>\n
S\u00e5rbarhederne er blevet udbedret i versionerne Node.js 12.22.6 og 14.17.6, npm CLI 6.14.15 og 7.21.0, samt i s\u00e6rskilte versioner af pakken tar 4.4.19, 5.0.11 og 6.1.10. Efter at have f\u00e5et information om problemet gennem initiativet «bug bounty» udbetalte GitHub 14.500 dollars til forskerne og scannede indholdet af repositoryet, hvor der ikke blev fundet spor af fors\u00f8g p\u00e5 at udnytte s\u00e5rbarhederne. For at beskytte sig mod de n\u00e6vnte problemer har GitHub ogs\u00e5 indf\u00f8rt et forbud mod offentligg\u00f8relse af npm-pakker i repositoryet, der indeholder symbolske links, h\u00e5rde links og absolutte stier. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"