{"id":101180,"date":"2021-09-02T22:22:53","date_gmt":"2021-09-02T20:22:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu"},"modified":"2021-09-02T22:22:53","modified_gmt":"2021-09-02T20:22:54","slug":"uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-npm-pakete-pac-resolver-naschityvayushhem-3-mln-zagruzok-v-nedelyu","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans le paquet NPM pac-resolver, qui compte 3 millions de t\u00e9l\u00e9chargements par semaine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 (CVE-2021-23406) a \u00e9t\u00e9 identifi\u00e9e dans le paquet NPM pac-resolver, qui compte plus de 3 millions de t\u00e9l\u00e9chargements par semaine, permettant l'ex\u00e9cution de son propre code JavaScript dans le contexte d'une application lors de l'envoi de requ\u00eates HTTP depuis des projets Node.js prenant en charge la fonction de configuration automatique de proxy. <\/p>\n
Le paquet pac-resolver analyse les fichiers PAC, qui contiennent un script de configuration automatique de proxy. Un fichier PAC contient un code JavaScript standard avec la fonction FindProxyForURL, qui d\u00e9termine la logique de s\u00e9lection du proxy en fonction de l'h\u00f4te et de l'URL demand\u00e9e. La vuln\u00e9rabilit\u00e9 r\u00e9side dans le fait que l'ex\u00e9cution de ce code JavaScript dans pac-resolver \u00e9tait r\u00e9alis\u00e9e \u00e0 l'aide de l'API VM fournie dans Node.js, permettant d'ex\u00e9cuter du code JavaScript dans un autre contexte du moteur V8. <\/p>\n
Cette API est explicitement marqu\u00e9e dans la documentation comme non destin\u00e9e \u00e0 ex\u00e9cuter du code non fiable, car elle ne fournit pas une isolation compl\u00e8te de l'ex\u00e9cution du code et permet d'acc\u00e9der au contexte d'origine. Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans la version pac-resolver 5.0.0, qui a migr\u00e9 vers l'utilisation de la biblioth\u00e8que vm2, offrant un niveau d'isolation plus \u00e9lev\u00e9, adapt\u00e9 \u00e0 l'ex\u00e9cution de code non fiable.
<\/center> <\/p>\n
En utilisant la version vuln\u00e9rable de pac-resolver, un attaquant peut, en fournissant un fichier PAC sp\u00e9cialement con\u00e7u, ex\u00e9cuter son propre code JavaScript dans le contexte du code du projet utilisant Node.js, si ce projet utilise des biblioth\u00e8ques ayant des d\u00e9pendances avec pac-resolver. La biblioth\u00e8que la plus probl\u00e9matique est Proxy-Agent, mentionn\u00e9e dans les d\u00e9pendances de 360 projets, y compris urllib, aws-cdk, mailgun.js et firebase-tools, totalisant plus de trois millions de t\u00e9l\u00e9chargements par semaine. <\/p>\n
Si une application ayant des d\u00e9pendances avec pac-resolver charge un fichier PAC fourni par un syst\u00e8me prenant en charge le protocole de configuration automatique de proxy WPAD, des attaquants ayant acc\u00e8s au r\u00e9seau local peuvent exploiter la diffusion des param\u00e8tres de proxy via DHCP pour injecter des fichiers PAC malveillants. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Vuln\u00e9rabilit\u00e9](\"\/wp-content\/uploads\/2021\/09\/3c16ba59e1b3371e326a44486d8332df.png\")
<\/center> <\/p>\n