{"id":100784,"date":"2021-07-17T22:22:35","date_gmt":"2021-07-17T20:22:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cdnjs-pozvolivshaya-vypolnit-kod-na-serverah-cloudflare"},"modified":"2021-07-17T22:22:35","modified_gmt":"2021-07-17T20:22:35","slug":"uyazvimost-v-cdnjs-pozvolivshaya-vypolnit-kod-na-serverah-cloudflare","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-cdnjs-pozvolivshaya-vypolnit-kod-na-serverah-cloudflare","title":{"rendered":"Une vuln\u00e9rabilit\u00e9 dans cdnjs, permettant l'ex\u00e9cution de code sur les serveurs Cloudflare","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un probl\u00e8me de s\u00e9curit\u00e9 critique a \u00e9t\u00e9 identifi\u00e9 dans le r\u00e9seau de diffusion de contenu cdnjs fourni par Cloudflare, qui est destin\u00e9 \u00e0 acc\u00e9l\u00e9rer la livraison des biblioth\u00e8ques JavaScript, permettant l'ex\u00e9cution de code arbitraire sur les serveurs CDN. Le danger de cette vuln\u00e9rabilit\u00e9 est aggrav\u00e9 par le fait que pr\u00e8s de 12,7 % de tous les sites Internet utilisent ce service pour charger des biblioth\u00e8ques JavaScript, et que la compromission de l'infrastructure permet de remplacer les biblioth\u00e8ques servies par n'importe lequel de ces sites. <\/p>\n

Le service cdnjs permet de charger des paquets depuis Git ou un d\u00e9p\u00f4t NPM, puis donne la possibilit\u00e9 \u00e0 tout site de profiter gratuitement du r\u00e9seau de distribution de contenu Cloudflare pour acc\u00e9l\u00e9rer le chargement des biblioth\u00e8ques JavaScript. En \u00e9tudiant le code des composants cdnjs publi\u00e9s sur GitHub, il a \u00e9t\u00e9 constat\u00e9 que pour d\u00e9compresser les paquets NPM dans les archives tgz, un module standard archive\/tar \u00e9crit en Go est utilis\u00e9, qui fournit la liste des fichiers tels quels, sans normalisation des chemins. Dans le cas o\u00f9 le script d\u00e9compresse le contenu sur la base de la liste fournie, la pr\u00e9sence de fichiers dans l'archive tels que \u00ab .. \/ .. \/ .. \/ .. \/ .. \/ .. \/ .. \/ tmp \/ test \u00bb peut entra\u00eener l'\u00e9criture de fichiers arbitraires dans le syst\u00e8me, dans la mesure o\u00f9 les droits d'acc\u00e8s le permettent. <\/p>\n

Il a \u00e9t\u00e9 suppos\u00e9 qu'un attaquant pourrait demander \u00e0 ajouter sa propre biblioth\u00e8que dans cdnjs et t\u00e9l\u00e9charger dans le d\u00e9p\u00f4t NPM une archive sp\u00e9cialement form\u00e9e contenant des fichiers avec des caract\u00e8res \u00ab .. \/ \u00bb dans le chemin. Sur les serveurs cdnjs, une op\u00e9ration \u00ab autoupdate \u00bb est p\u00e9riodiquement ex\u00e9cut\u00e9e, au cours de laquelle un gestionnaire t\u00e9l\u00e9charge de nouvelles versions de la biblioth\u00e8que propos\u00e9e et d\u00e9compresse le contenu. Gr\u00e2ce \u00e0 des fichiers avec des chemins \u00ab .. \/ \u00bb, l'attaquant pourrait obtenir l'\u00e9criture de fichiers avec les scripts du service et ex\u00e9cuter son propre code. le serveur<\/a> le syst\u00e8me o\u00f9 la d\u00e9compression a \u00e9t\u00e9 effectu\u00e9e. <\/p>\n

Dans le cas des mises \u00e0 jour charg\u00e9es \u00e0 partir de Git, il a \u00e9t\u00e9 constat\u00e9 que le gestionnaire de mise \u00e0 jour ne tenait pas compte des liens symboliques lors de la copie des fichiers depuis Git. Cette particularit\u00e9 permettait de lire n'importe quel fichier depuis de serveurs<\/a> le syst\u00e8me gr\u00e2ce \u00e0 l'ajout de liens symboliques dans Git. <\/p>\n

Des exp\u00e9riences sur la d\u00e9monstration d'une violation de cdnjs pour obtenir une r\u00e9compense sur HackerOne ont \u00e9t\u00e9 lanc\u00e9es par la v\u00e9rification d'une hypoth\u00e8se concernant la lecture des fichiers. Un lien symbolique test.js pointant vers le fichier \/proc\/self\/maps a \u00e9t\u00e9 ajout\u00e9 au d\u00e9p\u00f4t Git de la biblioth\u00e8que JavaScript diffus\u00e9e via CDN. Apr\u00e8s la publication d'une nouvelle version de cette biblioth\u00e8que, le gestionnaire de mises \u00e0 jour a trait\u00e9 ce d\u00e9p\u00f4t et a publi\u00e9 le fichier mentionn\u00e9 sur cdnjs (test.js a \u00e9t\u00e9 cr\u00e9\u00e9 comme un lien symbolique et lors de la demande de ce fichier, son contenu \/proc\/self\/maps \u00e9tait fourni). <\/p>\n

En rempla\u00e7ant le lien symbolique par le fichier \/proc\/self\/environ, l'auteur de l'\u00e9tude a remarqu\u00e9 que les donn\u00e9es fournies contenaient les valeurs des variables d'environnement GITHUB_REPO_API_KEY et WORKERS_KV_API_TOKEN. La premi\u00e8re variable contenait la cl\u00e9 API pour acc\u00e9der en \u00e9criture au d\u00e9p\u00f4t robocdnjs sur GitHub. La seconde variable contenait le jeton pour le stockage KV dans cdnjs. En tirant parti des informations obtenues, l'attaquant pouvait apporter des modifications \u00e0 cdnjs et compromettre enti\u00e8rement l'infrastructure.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Cloudflare \u0441\u0435\u0442\u0438 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0430 cdnjs, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u043e\u0439 \u0434\u043b\u044f \u0443\u0441\u043a\u043e\u0440\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 JavaScript-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0439 \u043a\u043e\u0434 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 CDN. \u041e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0443\u0441\u0443\u0433\u0443\u0431\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0435\u043c, \u0447\u0442\u043e \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 JavaScript-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043e\u043a\u043e\u043b\u043e 12.7% \u0432\u0441\u0435\u0445 \u0441\u0430\u0439\u0442\u043e\u0432 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u0438 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u044f \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438, \u043e\u0442\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0435 \u043b\u044e\u0431\u044b\u043c \u0438\u0437 \u044d\u0442\u0438\u0445 \u0441\u0430\u0439\u0442\u043e\u0432. \u0421\u0435\u0440\u0432\u0438\u0441 cdnjs \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-100784","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9 dans cdnjs, permettant l'ex\u00e9cution de code sur les serveurs Cloudflare | ProHoster","description":"Une vuln\u00e9rabilit\u00e9 critique a \u00e9t\u00e9 identifi\u00e9e dans le r\u00e9seau de diffusion de contenu cdnjs, propos\u00e9 par Cloudflare pour acc\u00e9l\u00e9rer la livraison des biblioth\u00e8ques JavaScript, permettant l'ex\u00e9cution de code arbitraire sur les serveurs.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-cdnjs-pozvolivshaya-vypolnit-kod-na-serverah-cloudflare","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 cdnjs, \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0432\u0448\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u0434 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 Cloudflare | ProHoster","og:description":"\u0412 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Cloudflare \u0441\u0435\u0442\u0438 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0430 cdnjs, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u043e\u0439 \u0434\u043b\u044f \u0443\u0441\u043a\u043e\u0440\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 JavaScript-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0439 \u043a\u043e\u0434 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-cdnjs-pozvolivshaya-vypolnit-kod-na-serverah-cloudflare","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-07-17T20:22:35+00:00","article:modified_time":"2021-07-17T20:22:35+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"100784","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-07-17 22:01:30","updated":"2026-02-22 15:30:24","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100784","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=100784"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100784\/revisions"}],"predecessor-version":[{"id":162261,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100784\/revisions\/162261"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=100784"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=100784"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=100784"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}