NPM-pakendis pac-resolver, millel on üle 3 miljoni nädalas laadimise, tuvastati haavatavus (CVE-2021-23406), mis võimaldab JavaScript-koodi täitmist rakenduse kontekstis, kui saadetakse HTTP-päringud Node.js-projektidest, mis toetavad automaatse proxy-seadmise funktsiooni.
Pac-resolver pakett analüüsib PAC-faile, mis sisaldavad automaatse proxy-seadmise skripti. PAC-fail sisaldab tavalist JavaScript-koodi, milles on funktsioon FindProxyForURL, mis määrab proxy valimise loogika sõltuvalt hostist ja küsitud URL-ist. Haavatavuse tuum seisneb selles, et pac-resolveris esitati JavaScript-kood, kasutades Node.js API VM-i, mis võimaldab JavaScripti koodi täitmist V8 mootori teises kontekstis.
Antud API on dokumentatsioonis selgelt märgitud kui mitte usaldusväärse koodi käitamiseks mitte mõeldud, kuna see ei paku täisväärtuslikku käivitatava koodi isoleerimist ning lubab ligipääsu algsele kontekstile. Probleem lahendati pac-resolver 5.0.0 väljalaskmisel, mis on ümber viidud vm2 raamatukogu kasutamisele, mis pakub kõrgemat isoleerimisastet, mis sobib usaldamatute koodide käitamiseks.
Haavatava pac-resolver'i versiooni kasutamisel võib ründaja, edastades spetsiaalset vormindatud PAC-faili, saavutada oma JavaScript-koodi käitamise projekti koodi kontekstis, mis kasutab Node.js-i, kui selles projektis on raamatukogusid, mis sõltuvad pac-resolver'ist. Problemaatilisest raamatukogust kõige populaarsem on Proxy-Agent, mis on sõltuvustes 360 projektis, sealhulgas urllib, aws-cdk, mailgun.js ja firebase-tools, mis kokku annavad üle kolme miljoni allalaadimise nädalas.
Kui rakendus, mis on seotud pac-resolveriga, laadib WPAD-protokolliga varustatud süsteemi pakutud PAC-faili, saavad kohalikku võrku pääsevad kurjategijad kasutada DHCP kaudu edastatavaid proxy-seadeid, et asendada pahatahtlikud PAC-failid.
Allikas: opennet.ru
