{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in NPM, die zu Dateischreibungen im System f\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen GitHub hat Details zu sieben Schwachstellen in den Tar- und @npmcli\/arborist-Paketen ver\u00f6ffentlicht, die Funktionen zur Verarbeitung von Tar-Archiven und zur Berechnung von Abh\u00e4ngigkeitsb\u00e4umen in Node.js bereitstellen. Diese Schwachstellen erm\u00f6glichen es, beim Entpacken eines speziell gestalteten Archivs Dateien au\u00dferhalb des Wurzelverzeichnisses, in das entpackt wird, entsprechend den aktuellen Zugriffsrechten zu \u00fcberschreiben. Die Probleme er\u00f6ffnen die M\u00f6glichkeit, beliebigen Code im System auszuf\u00fchren, etwa durch das Hinzuf\u00fcgen von Befehlen zu ~\/ .bashrc oder ~\/ .profile, wenn die Operation von einem nicht privilegierten Nutzer durchgef\u00fchrt wird, oder durch Ersetzen von Systemdateien bei der Ausf\u00fchrung mit root-Rechten. <\/p>\n
Die Gefahren von Sicherheitsanf\u00e4lligkeiten werden durch die Verwendung problematischer Codes im Paketmanager npm bei Operationen mit npm-Paketen versch\u00e4rft. Dies erm\u00f6glicht das Ausl\u00f6sen eines Angriffs auf Nutzer, indem ein gezielt gestaltetes npm-Paket in einem Repository ver\u00f6ffentlicht wird, dessen Verarbeitung in einem System den Code des Angreifers ausf\u00fchrt. Der Angriff ist sogar m\u00f6glich, wenn Pakete im Modus «—ignore-scripts» installiert werden, der die Ausf\u00fchrung eingebetteter Skripte deaktiviert. Insgesamt gibt es vier Sicherheitsanf\u00e4lligkeiten in npm (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 und CVE-2021-39135) von insgesamt sieben. Die ersten beiden Probleme betreffen das Paket tar, w\u00e4hrend die anderen beiden das Paket @npmcli\/arborist betreffen. <\/p>\n
Die gef\u00e4hrlichste Sicherheitsanf\u00e4lligkeit CVE-2021-32804 entsteht, weil bei der Bereinigung von angegebenen absoluten Pfaden im tar-Archiv wiederholende Zeichen «\/» nicht korrekt behandelt werden. Nur das erste Zeichen wird entfernt, die \u00fcbrigen bleiben bestehen. Beispielsweise wird der Pfad «\/home\/user\/.bashrc» in «home\/user\/.bashrc» umgewandelt, w\u00e4hrend der Pfad «\/\/home\/user\/.bashrc» in «\/home\/user\/.bashrc» umgewandelt wird. Die zweite Sicherheitsanf\u00e4lligkeit CVE-2021-37713 tritt nur auf der Windows-Plattform auf und h\u00e4ngt mit der fehlerhaften Bereinigung relativer Pfade zusammen, die ein nicht geteiltes Laufwerksymbol («C:some\temp») und eine Sequenz zum Zur\u00fcckkehren in das vorherige Verzeichnis («C:..\/foo») enthalten. <\/p>\n
Die Sicherheitsanf\u00e4lligkeiten CVE-2021-39134 und CVE-2021-39135 sind spezifisch f\u00fcr das Modul @npmcli\/arborist. Das erste Problem tritt nur auf Systemen auf, die Sonderzeichen in Dateisystemen (macOS und Windows) nicht unterscheiden. Es erm\u00f6glicht die Speicherung von Dateien in beliebigen Teilen des Dateisystems, indem zwei Module in den Abh\u00e4ngigkeiten angegeben werden: ‘»foo»: «file:\/some\/path»‘ und ‘FOO: «file:foo.tgz»‘. Die Verarbeitung dieser f\u00fchrt zur L\u00f6schung des Inhalts des Verzeichnisses \/some\/path und zur Speicherung des Inhalts von foo.tgz darin. Das zweite Problem erm\u00f6glicht das \u00dcberschreiben von Dateien durch Manipulation mit symbolischen Links. <\/p>\n
Die Sicherheitsanf\u00e4lligkeiten wurden in den Versionen Node.js 12.22.6 und 14.17.6, npm CLI 6.14.15 und 7.21.0 sowie in einzelnen Versionen des Tar-Pakets 4.4.19, 5.0.11 und 6.1.10 behoben. Im Rahmen der «Bug Bounty»-Initiative erhielt GitHub Informationen zu diesem Problem, zahlte den Forschern 14.500 $ und scannte den Inhalt des Repositories, in dem keine Versuche zur Ausnutzung der Sicherheitsanf\u00e4lligkeiten festgestellt wurden. Um sich vor den genannten Problemen zu sch\u00fctzen, hat GitHub au\u00dferdem ein Verbot zur Ver\u00f6ffentlichung von NPM-Paketen in Repositories eingef\u00fchrt, die symbolische Links, harte Links und absolute Pfade enthalten. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"