{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in NPM, die zu einer Datei\u00fcberschreibung im System f\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen GitHub hat Details zu sieben Sicherheitsanf\u00e4lligkeiten in den tar-Paketen und @npmcli\/arborist ver\u00f6ffentlicht, die Funktionen zum Arbeiten mit tar-Archiven und zur Berechnung von Abh\u00e4ngigkeitsb\u00e4umen in Node.js bereitstellen. Diese Schwachstellen erm\u00f6glichen es, beim Entpacken eines speziell gestalteten Archivs Dateien au\u00dferhalb des Zielverzeichnisses zu \u00fcberschreiben, abh\u00e4ngig von den aktuellen Berechtigungen. Die Probleme er\u00f6ffnen die M\u00f6glichkeit, schadhafter Code im System auszuf\u00fchren, beispielsweise durch Hinzuf\u00fcgen von Befehlen zu ~\/ .bashrc oder ~\/ .profile bei der Ausf\u00fchrung durch einen nicht privilegierten Benutzer oder bei der Ersetzung von Systemdateien mit Root-Rechten. <\/p>\n
Die Gefahr von Sicherheitsanf\u00e4lligkeiten wird verst\u00e4rkt, da fehlerhafter Code in dem Paketmanager npm bei Operationen mit npm-Paketen verwendet wird. Dies erm\u00f6glicht Angriffe auf Nutzer, indem ein speziell gestaltetes npm-Paket in einem Repository platziert wird, das dazu f\u00fchrt, dass beim Verarbeiten des Pakets schadhafter Code im System ausgef\u00fchrt wird. Ein Angriff ist sogar m\u00f6glich, wenn Pakete im Modus «—ignore-scripts» installiert werden, der die Ausf\u00fchrung eingebetteter Skripte deaktiviert. Insgesamt betrifft npm vier Sicherheitsanf\u00e4lligkeiten (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 und CVE-2021-39135) von sieben. Die ersten beiden Probleme betreffen das Paket tar, die verbleibenden beiden das Paket @npmcli\/arborist. <\/p>\n
Die schwerwiegendste Sicherheitsanf\u00e4lligkeit CVE-2021-32804 entsteht durch die fehlerhafte Verarbeitung wiederholter Zeichen \"\/\" beim Reinigen der im Tar-Archiv angegebenen absoluten Pfade \u2013 nur das erste Zeichen wird entfernt, w\u00e4hrend die \u00fcbrigen erhalten bleiben. Zum Beispiel wird der Pfad \"\/home\/user\/.bashrc\" in \"home\/user\/.bashrc\" umgewandelt, w\u00e4hrend der Pfad \"\/\/home\/user\/.bashrc\" in \"\/home\/user\/.bashrc\" konvertiert wird. Die zweite Schwachstelle CVE-2021-37713 tritt nur auf der Windows-Plattform auf und h\u00e4ngt mit der fehlerhaften S\u00e4uberung relativer Pfade zusammen, die das nicht getrennte Laufwerksymbol (\"C:some\\path\") und die Sequenz f\u00fcr den R\u00fccksprung in das vorherige Verzeichnis (\"C:..\/foo\") beinhaltet. <\/p>\n
Die Schwachstellen CVE-2021-39134 und CVE-2021-39135 sind spezifisch f\u00fcr das Modul @npmcli\/arborist. Das erste Problem tritt nur auf Systemen auf, die zwischen Gro\u00df- und Kleinschreibung im Dateisystem nicht unterscheiden (macOS und Windows), und erm\u00f6glicht das Schreiben von Dateien in einen beliebigen Teil des Dateisystems, indem zwei Module in den Abh\u00e4ngigkeiten angegeben werden: 'foo': 'file:\/some\/path' und 'FOO': 'file:foo.tgz', deren Verarbeitung zur L\u00f6schung des Inhalts des Verzeichnisses \/some\/path und zum Schreiben des Inhalts von foo.tgz in dieses f\u00fchrt. Das zweite Problem erm\u00f6glicht es, Dateien durch Manipulation mit symbolischen Links zu \u00fcberschreiben. <\/p>\n
Die Schwachstellen wurden in den Versionen Node.js 12.22.6 und 14.17.6, npm CLI 6.14.15 und 7.21.0 sowie in bestimmten Versionen des Pakets tar 4.4.19, 5.0.11 und 6.1.10 behoben. Nachdem GitHub im Rahmen der Bug-Bounty-Initiative Informationen \u00fcber das Problem erhalten hatte, wurden 14.500 $ an die Forscher ausgezahlt, und der Inhalt des Repositories wurde gescannt, in dem keine Versuche zur Ausnutzung der Schwachstellen festgestellt wurden. Zum Schutz vor diesen Problemen hat GitHub au\u00dferdem ein Verbot f\u00fcr die Ver\u00f6ffentlichung von NPM-Paketen in Repositorys eingef\u00fchrt, das symbolische Links, harte Links und absolute Pfade enth\u00e4lt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"