{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Vulnerabilidad en NPM que permite la sobrescritura de archivos en el sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La compa\u00f1\u00eda GitHub ha revelado detalles sobre siete vulnerabilidades en los paquetes tar y @npmcli\/arborist, que proporcionan funciones para trabajar con archivos tar y calcular el \u00e1rbol de dependencias en Node.js. Las vulnerabilidades permiten sobrescribir archivos fuera del directorio ra\u00edz al descomprimir un archivo especialmente dise\u00f1ado, seg\u00fan lo permitan los permisos actuales. Estos problemas permiten ejecutar c\u00f3digo arbitrario en el sistema, por ejemplo, al a\u00f1adir comandos en ~\/ .bashrc o ~\/ .profile cuando un usuario sin privilegios ejecuta la operaci\u00f3n, o al reemplazar archivos del sistema al ejecutarse con derechos de root. <\/p>\n
El peligro de las vulnerabilidades se agrava porque el c\u00f3digo problem\u00e1tico se utiliza en el gestor de paquetes npm en las operaciones con paquetes npm, lo que permite organizar un ataque a los usuarios al colocar un paquete npm dise\u00f1ado espec\u00edficamente en un repositorio, cuyo procesamiento ejecutar\u00e1 el c\u00f3digo malicioso en el sistema. El ataque es posible incluso cuando se instalan paquetes en modo «—ignore-scripts», que desactiva la ejecuci\u00f3n de scripts integrados. En total, npm se ve afectado por cuatro vulnerabilidades (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 y CVE-2021-39135) de un total de siete. Los dos primeros problemas se refieren al paquete tar, mientras que los otros dos son del paquete @npmcli\/arborist. <\/p>\n
La vulnerabilidad m\u00e1s cr\u00edtica CVE-2021-32804 se debe a que durante la limpieza de las rutas absolutas especificadas en el archivo tar, los caracteres repetidos «\\\/» no se procesan correctamente: solo se elimina el primer car\u00e1cter y los dem\u00e1s se dejan. Por ejemplo, la ruta «\\\/home\\\/user\\\/ .bashrc» se transformar\u00e1 en «home\\\/user\\\/.bashrc», mientras que la ruta «\\\/\\\/home\\\/user\\\/ .bashrc» se convertir\u00e1 en «\\\/home\\\/user\\\/.bashrc». La segunda vulnerabilidad CVE-2021-37713 se manifiesta solo en la plataforma Windows y est\u00e1 relacionada con la limpieza incorrecta de rutas relativas que incluyen un s\u00edmbolo de disco no delimitado («C:some\\path») y una secuencia para volver al directorio anterior («C:..\\\/foo»). <\/p>\n
Las vulnerabilidades CVE-2021-39134 y CVE-2021-39135 son espec\u00edficas del m\u00f3dulo @npmcli\/arborist. El primer problema solo se manifiesta en sistemas que no distinguen entre may\u00fasculas y min\u00fasculas en el sistema de archivos (macOS y Windows), y permite escribir archivos en cualquier parte del sistema de archivos al especificar en las dependencias dos m\u00f3dulos ‘»foo»: «file:\\\/some\\\/path»‘ y ‘FOO: «file:foo.tgz»‘, cuyo procesamiento resulta en la eliminaci\u00f3n del contenido del directorio \\\/some\\\/path y la escritura de su contenido en foo.tgz. El segundo problema permite sobrescribir archivos manipulando enlaces simb\u00f3licos. <\/p>\n
Las vulnerabilidades han sido corregidas en las versiones Node.js 12.22.6 y 14.17.6, npm CLI 6.14.15 y 7.21.0, as\u00ed como en versiones espec\u00edficas del paquete tar 4.4.19, 5.0.11 y 6.1.10. Tras enterarse del problema en el marco de la iniciativa «bug bounty», GitHub pag\u00f3 a los investigadores $14500 y escane\u00f3 el contenido del repositorio, en el que no se detectaron intentos de explotaci\u00f3n de las vulnerabilidades. Para protegerse de los problemas mencionados, GitHub tambi\u00e9n impuso una prohibici\u00f3n de publicaci\u00f3n en el repositorio de paquetes NPM que incluyan enlaces simb\u00f3licos, enlaces duros y rutas absolutas. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"