{"id":101180,"date":"2021-09-02T22:22:53","date_gmt":"2021-09-02T20:22:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu"},"modified":"2021-09-02T22:22:53","modified_gmt":"2021-09-02T20:22:54","slug":"uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit im NPM-Paket pac-resolver, das 3 Millionen Downloads pro Woche hat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im NPM-Paket pac-resolver, das \u00fcber 3 Millionen Downloads pro Woche verzeichnet, wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2021-23406) entdeckt, die es erm\u00f6glicht, eigenen JavaScript-Code im Kontext der Anwendung auszuf\u00fchren, wenn HTTP-Anfragen aus Node.js-Projekten gesendet werden, die die Funktion zur automatischen Proxy-Konfiguration unterst\u00fctzen. <\/p>\n
Das Paket pac-resolver analysiert PAC-Dateien, die ein Skript zur automatischen Proxy-Konfiguration enthalten. Die PAC-Datei enth\u00e4lt normalen JavaScript-Code mit der Funktion FindProxyForURL, die die Logik zur Auswahl des Proxys basierend auf dem Host und der angeforderten URL definiert. Der Kern der Schwachstelle liegt darin, dass zur Ausf\u00fchrung dieses JavaScript-Codes im pac-resolver die im Node.js API VM bereitgestellte Funktion verwendet wurde, die es erm\u00f6glicht, JavaScript-Code in einem anderen Kontext der V8-Engine auszuf\u00fchren. <\/p>\n
Die angegebene API ist in der Dokumentation ausdr\u00fccklich als nicht f\u00fcr die Ausf\u00fchrung von nicht vertrauensw\u00fcrdigem Code vorgesehen gekennzeichnet, da sie keine vollst\u00e4ndige Isolierung des ausgef\u00fchrten Codes bietet und den Zugriff auf den urspr\u00fcnglichen Kontext erm\u00f6glicht. Das Problem wurde in der Version pac-resolver 5.0.0 behoben, die auf die Bibliothek vm2 umgestellt wurde, die ein h\u00f6heres Ma\u00df an Isolierung bietet, das f\u00fcr die Ausf\u00fchrung von nicht vertrauensw\u00fcrdigem Code geeignet ist.
<\/center> <\/p>\n
Bei Verwendung einer anf\u00e4lligen Version von pac-resolver kann ein Angreifer durch das \u00dcbermitteln einer speziell gestalteten PAC-Datei die Ausf\u00fchrung seines JavaScript-Codes im Kontext des Codes eines Projekts, das Node.js verwendet, erreichen, wenn in diesem Projekt Bibliotheken verwendet werden, die \u00fcber Abh\u00e4ngigkeiten mit pac-resolver verbunden sind. Die am h\u00e4ufigsten betroffene Bibliothek ist Proxy-Agent, die in den Abh\u00e4ngigkeiten von 360 Projekten gelistet ist, einschlie\u00dflich urllib, aws-cdk, mailgun.js und firebase-tools, die insgesamt mehr als drei Millionen Downloads pro Woche haben. <\/p>\n
![\"Eine](\"\/wp-content\/uploads\/2021\/09\/3c16ba59e1b3371e326a44486d8332df.png\")
<\/center> <\/p>\n