{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"NPM-is avastatud haavatavus, mis toob kaasa failide \u00fcmberkirjutamise s\u00fcsteemis.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub on avaldanud teavet seitsme haavatavuse kohta paketides tar ja @npmcli\/arborist, mis pakuvad funktsioone tar-arhiivide haldamiseks ja s\u00f5ltuvuspuude arvutamiseks Node.js-is. Haavatavused v\u00f5imaldavad erikujundatud arhiivi lahtipakkimisel kirjutada \u00fcle failid v\u00e4ljaspool lahtipakkimise juurkatalooge, s\u00f5ltuvalt kohalike juurdep\u00e4\u00e4su\u00f5igustest. Need probleemid v\u00f5ivad v\u00f5imaldada suvalise koodi k\u00e4ivitamist s\u00fcsteemis, n\u00e4iteks k\u00e4skude lisamine ~\/.bashrc v\u00f5i ~\/.profile k\u00e4itamise ajal, kui operatsiooni teostab \u00f5igusteta kasutaja v\u00f5i s\u00fcsteemifailide asendamine root-\u00f5igustega k\u00e4ivitamise korral. <\/p>\n
Haavatavuste oht suureneb seet\u00f5ttu, et probleemne kood kasutatakse paketihalduris npm npm-pakettidega t\u00f6\u00f6tamisel, mis v\u00f5imaldab korraldada r\u00fcnnakuid kasutajate vastu, postitades spetsiaalselt vormistatud npm-pakette repositooriumisse, mille t\u00f6\u00f6tlemisel k\u00e4ivitatakse s\u00fcsteemis kurjategija kood. R\u00fcnnak on v\u00f5imalik isegi nende pakettide installimisel re\u017eiimis «—ignore-scripts», mis keelab sisseehitatud skriptide k\u00e4ivitamise. Kokku on npm m\u00f5jutatud neljast haavatavusest (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 ja CVE-2021-39135) seitsmest. Kaks esimest probleemi puudutavad paketti tar ja viimased kaks paketti @npmcli\/arborist. <\/p>\n
K\u00f5ige ohtlikum haavatavus CVE-2021-32804 tuleneb sellest, et tar-arhiivis m\u00e4\u00e4ratud absoluutsete teede puhastamisel t\u00f6\u00f6deldakse korduvaid s\u00fcmboleid «\/» valejuhises - eemaldatakse ainult esimene s\u00fcmbol, samas kui \u00fclej\u00e4\u00e4nud j\u00e4\u00e4vad alles. N\u00e4iteks, tee «\/home\/user\/.bashrc» muudetakse «home\/user\/.bashrc» ja tee «\/\/home\/user\/.bashrc» muudetakse «\/home\/user\/.bashrc». Teine haavatavus CVE-2021-37713 ilmneb ainult Windowsi platvormil ja on seotud vale puhastamisega, mis puudutab suhtelisi teid, mis sisaldavad mitte lahutatud ketta s\u00fcmbolit («C:some\path») ja eelmine kataloog tagasip\u00f6\u00f6ramise j\u00e4rjestust («C:..\/foo»). <\/p>\n
Haavatavused CVE-2021-39134 ja CVE-2021-39135 on spetsiifilised @npmcli\/arborist moodulile. Esimene probleem ilmneb ainult s\u00fcsteemides, mis ei erine s\u00fcmbolite suurusest FS-is (macOS ja Windows) ja v\u00f5imaldab kirjutada faile suvalisse FS-i osa, m\u00e4\u00e4rates s\u00f5ltuvusteks kaks moodulit ‘»foo»: «file:\/some\/path»‘ ja ‘FOO: «file:foo.tgz»‘, mille t\u00f6\u00f6tlemine toob kaasa katalooge \/some\/path sisu kustutamise ja sinna foo.tgz sisu kirjutamise. Teine probleem v\u00f5imaldab faile kirjutada s\u00fcmboolsete linkidega manipuleerimise kaudu. <\/p>\n
Haavatavused on k\u00f5rvaldatud Node.js versioonides 12.22.6 ja 14.17.6, npm CLI 6.14.15 ja 7.21.0, samuti erinevates tar paketi versioonides 4.4.19, 5.0.11 ja 6.1.10. P\u00e4rast probleemi teadasaamist «bug bounty» algatuse raames maksti uurijatele 14500 dollarit ja skaneeriti repositooriumi sisu, milles ei leitud katseid haavatavuste ekspluateerimiseks. Nende probleemide v\u00e4ltimiseks keelas GitHub ka NPM-paketihalduri repositooriumis s\u00fcmboolsete linkide, k\u00f5vade linkide ja absoluutsete teede sisaldava paketihalduse. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"