Haavatavus NPM-pakendis pac-resolver, millel on 3 miljonit allalaadimist nädalas.

NPM paketis pac-resolver, millel on üle 3 miljoni allalaadimise nädalas, avastati haavatavus (CVE-2021-23406), mis võimaldab käivitada oma JavaScript-koodi rakenduse kontekstis, saates HTTP-päringuid Node.js projektidest, mis toetavad automaatse proxy seadistamise funktsiooni.

Paket pac-resolver analüüsib PAC-faile, mis sisaldavad automaatse proxy seadistamise skripti. PAC-fail sisaldab tavalist JavaScript-koodi, millel on funktsioon FindProxyForURL, mis määrab, kuidas valida proxy sõltuvalt hostist ja päringu URL-ist. Haavatavuse olemus seisneb selles, et pac-resolver kasutab veel Node.js API-d VM, mis võimaldab käitada JavaScript-koodi teises V8 mootori kontekstis.

Antud API on dokumentatsioonis selgelt märgitud kui mitte usaldusväärse koodi käitamiseks, kuna see ei paku täis isoleerimist käitatavale koodile ning võimaldab juurde pääseda algsele kontekstile. Probleem on lahendatud pac-resolveri väljaandes 5.0.0, mis on üle viidud vm2 raamatukogu kasutamisele, pakkudes kõrgemat taset isoleerimises, sobilikku usaldusväärsete koodide käitamiseks.

Haavatava versiooni pac-resolver kasutamisel võib ründaja, edastades spetsiaalselt vormindatud PAC-faili, saavuta oma JavaScript-koodi käitamise projektikoodi kontekstis, mis kasutab Node.js-i, kui antud projektis kasutatakse pac-resolveriga seotud sõltuvusi. Kõige populaarsem probleemne teek on Proxy-Agent, mida on kasutatud 360 projekti sõltuvustes, sealhulgas urllib, aws-cdk, mailgun.js ja firebase-tools, mille kogusumma ületab üle kolme miljoni allalaadimise nädalas.

Kui rakendus, mis on pac-resolveriga seotud sõltuvustes, laadib alla PAC-faili, mis on saadud süsteemilt, mis toetab automaatse proxy seadistamise protokolli WPAD, siis saavad pahatahtlikud isikud, kellel on juurdepääs kohaliku võrgu, ära kasutada DHCP kaudu proxy seadeid, et vahetada pahatahtlikke PAC-faile.

Allikas: opennet.ru