{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"NPM-isolek, mis toob kaasa failide \u00fcle kirjutamise s\u00fcsteemis","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub paljastas \u00fcksikasjad seitsmest haavatavusest pakettides tar ja @npmcli\/arborist, mis pakuvad funktsioone tar-arkivide k\u00e4sitlemiseks ja Node.js s\u00f5ltuvuspuu arvutamiseks. Haavatavused v\u00f5imaldavad spetsiaalselt kujundatud arhiivi lahtipakkimise ajal kirjutada faile \u00fcle v\u00e4ljaspool juurkatalooge, kuhu lahtipakkimine toimub, s\u00f5ltuvalt praegustest \u00f5igustest. Probleemid v\u00f5imaldavad korraldada kahjuliku koodi t\u00e4itmist s\u00fcsteemis, n\u00e4iteks lisades k\u00e4ske ~\/.bashrc v\u00f5i ~\/.profile, kui operatsiooni viib vabatahtlik kasutaja l\u00e4bi v\u00f5i asendades s\u00fcsteemifaile juur\u00f5igustega k\u00e4ivitamisel. <\/p>\n
Haavatavuste oht suureneb, kuna probleemne kood on kasutusel pakihalduris npm npm-pakettide operatsioonide k\u00e4igus, mis v\u00f5imaldab r\u00fcnnakut kasutajate vastu, paigutades spetsiaalselt koostatud npm-paketi hoidlasse, mille t\u00f6\u00f6tlemisel k\u00e4ivitatakse s\u00fcsteemis kurjategija kood. R\u00fcnnak on v\u00f5imalik isegi pakettide installimisel re\u017eiimis «—ignore-scripts», mis keelab sisseehitatud skriptide t\u00e4itmise. Kokku on npm-i puudutavad neli haavatavust (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 ja CVE-2021-39135) seitsmest. Esimene two probleemi puudutavad paketti tar, samas kui \u00fclej\u00e4\u00e4nud kaks asuvad paketis @npmcli\/arborist. <\/p>\n
K\u00f5ige ohtlikum haavatavus CVE-2021-32804 tuleneb sellest, et tar-arhiivis m\u00e4\u00e4ratud absoluutsete teede puhastamisel t\u00f6\u00f6deldakse korduvaid s\u00fcmboleid «\\\/» ebat\u00f5husalt \u2014 kustutatakse vaid esimene s\u00fcmbol, teised j\u00e4\u00e4vad alles. N\u00e4iteks tee «\\\/home\\\/user\\\/.bashrc» muudetakse «home\\\/user\\\/.bashrc» ja tee «\\\/\\\/home\\\/user\\\/.bashrc» muudetakse «\\\/home\\\/user\\\/.bashrc». Teine haavatavus CVE-2021-37713 avaldub vaid Windows platvormil ja on seotud ebat\u00f5husa suhteliste teede puhastamisega, mis sisaldavad jagamata kettas\u00fcmbolit («C:some\\path») ja kaustast tagasi tulemise j\u00e4rjestust («C:..\\\/foo»). <\/p>\n
Haavatavused CVE-2021-39134 ja CVE-2021-39135 on spetsiifilised moodulile @npmcli\/arborist. Esimene probleem avaldub vaid s\u00fcsteemides, mis ei erista s\u00fcmbolite suurust FS-is (macOS ja Windows), ja v\u00f5imaldab faile kirjutada FS-i suvalisse ossa, m\u00e4\u00e4rates s\u00f5ltuvustena kaks moodulit ‘»foo»: «file:\\\/some\\\/path»‘ ja ‘FOO: «file:foo.tgz»‘, mille t\u00f6\u00f6tlemine toob kaasa kausta \\\/some\\\/path sisu kustutamise ja sinna foo.tgz sisu kirjutamise. Teine probleem v\u00f5imaldab faile \u00fcle kirjutada s\u00fcmboolsete linkidega manipuleerimise kaudu. <\/p>\n
Haavatavused on k\u00f5rvaldatud Node.js versioonides 12.22.6 ja 14.17.6, npm CLI 6.14.15 ja 7.21.0 ning ka eraldiseisvates tar paketi v\u00e4ljaannetes 4.4.19, 5.0.11 ja 6.1.10. Saades teavet probleemi kohta algatuses «bug bounty», maksis GitHub teadlastele 14500 dollarit ja skaneeris hoidla sisu, kus ei leitud \u00fchtegi katset haavatavuste \u00e4rakasutamiseks. Et kaitsta end nimetatud probleemide eest, kehtestas GitHub piirangu NPM-paketide hoidlas, mis sisaldavad s\u00fcmboolseid linke, k\u00f5vasid linke ja absoluutteid. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"