{"id":101180,"date":"2021-09-02T22:22:53","date_gmt":"2021-09-02T20:22:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu"},"modified":"2021-09-02T22:22:53","modified_gmt":"2021-09-02T20:22:54","slug":"uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit im NPM-Paket pac-resolver, das w\u00f6chentlich 3 Millionen Downloads verzeichnet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im NPM-Paket pac-resolver, das mehr als 3 Millionen Downloads pro Woche verzeichnet, wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2021-23406) entdeckt, die es erm\u00f6glicht, eigenen JavaScript-Code im Kontext der Anwendung auszuf\u00fchren, wenn HTTP-Anfragen aus Node.js-Projekten gesendet werden, die die Funktion zur automatischen Proxy-Server-Konfiguration unterst\u00fctzen. <\/p>\n
Das Paket pac-resolver analysiert PAC-Dateien, die ein Skript zur automatischen Proxy-Server-Konfiguration enthalten. Die PAC-Datei enth\u00e4lt normalen JavaScript-Code mit der Funktion FindProxyForURL, die die Logik zur Auswahl des Proxys basierend auf dem Host und der angeforderten URL definiert. Das Wesentliche der Schwachstelle besteht darin, dass zur Ausf\u00fchrung dieses JavaScript-Codes im pac-resolver die im Node.js API VM bereitgestellte API verwendet wurde, die es erm\u00f6glicht, JavaScript-Code in einem anderen Kontext der V8-Engine auszuf\u00fchren. <\/p>\n
Die angegebene API ist in der Dokumentation ausdr\u00fccklich als ungeeignet zum Ausf\u00fchren nicht vertrauensw\u00fcrdigen Codes gekennzeichnet, da sie keine vollst\u00e4ndige Isolation des ausgef\u00fchrten Codes bietet und den Zugriff auf den urspr\u00fcnglichen Kontext erm\u00f6glicht. Das Problem wurde in der Version pac-resolver 5.0.0 behoben, die auf die Verwendung der vm2-Bibliothek umgestellt wurde, die ein h\u00f6heres Ma\u00df an Isolation bietet, das f\u00fcr die Ausf\u00fchrung nicht vertrauensw\u00fcrdiger Codes geeignet ist.
<\/center> <\/p>\n
Bei der Verwendung der anf\u00e4lligen Version von pac-resolver kann ein Angreifer durch die \u00dcbermittlung einer speziell gestalteten PAC-Datei die Ausf\u00fchrung seines JavaScript-Codes im Kontext des Codes des Projekts, das Node.js verwendet, erreichen, wenn in diesem Projekt Bibliotheken verwendet werden, die Abh\u00e4ngigkeiten zu pac-resolver haben. Eine der am h\u00e4ufigsten verwendeten problematischen Bibliotheken ist Proxy-Agent, die in den Abh\u00e4ngigkeiten von 360 Projekten erw\u00e4hnt wird, darunter urllib, aws-cdk, mailgun.js und firebase-tools, die insgesamt mehr als drei Millionen Downloads pro Woche verzeichnen. <\/p>\n
Wenn eine Anwendung, die abh\u00e4ngige Bibliotheken zu pac-resolver hat, eine PAC-Datei l\u00e4dt, die von einem System mit Unterst\u00fctzung f\u00fcr das Protokoll zur automatischen Proxy-Konfiguration WPAD bereitgestellt wird, k\u00f6nnen Angreifer, die Zugriff auf das lokale Netzwerk haben, die Verbreitung von Proxy-Einstellungen \u00fcber DHCP ausnutzen, um b\u00f6sartige PAC-Dateien einzuschleusen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Eine](\"\/wp-content\/uploads\/2021\/09\/3c16ba59e1b3371e326a44486d8332df.png\")
<\/center> <\/p>\n