🥇 NPM-i haavatavus, mis võimaldab muuta suvalisi faile paketi installimise ajal

NPM-i paketihalduri versioonis 6.13.4, mis kuulub Node.js-i komplekti ja mida kasutatakse JavaScripti moodulite levitamiseks, on kõrvaldatud kolm haavatavust (CVE-2019-16775, CVE-2019-16776 ja CVE-2019-16777), mis võimaldavad muuta või üle kirjutada suvalisi süsteemifaile paketi installimise ajal, mille on valmistanud ründaja. Kaitsena võib kasutada paigaldamist valiku "—ignore-scripts" abil, mis keelab sisseehitatud paketihaldurite täitmise. NPM-i arendajad on analüüsinud hoidlas olevaid pakette ega leidnud tõendeid probleemide ära kasutamise kohta rünnakute tegemiseks.

CVE-2019-16777 ilmneb versioonides kuni 6.13.4 ja võimaldab üle kirjutada süsteemi täidetavad failid paketi globaalsete installimiste käigus. Saada vahetada ainult faile sihtkaustas, kuhu installitakse täidetavad failid (tavaliselt /usr/local/bin).

CVE-2019-16775 ja CVE-2019-16776 ilmnevad versioonides kuni 6.13.3 ja võimaldavad üle kirjutada suvalise faili, luues sümboolse lingi failidele väljaspool moodulite kausta (node_modules) või manipuleerides package.json-i bin välja vorminguga (bin-välja korral oli lubatud kasutada teid "../").

Allikas: opennet.ru

NPM-i haavatavus võimaldab muuta suvalisi faile paketi installimise ajal