{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans NPM entra\u00eenant la r\u00e9\u00e9criture de fichiers dans le syst\u00e8me","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 GitHub a r\u00e9v\u00e9l\u00e9 des d\u00e9tails sur sept vuln\u00e9rabilit\u00e9s dans les paquets tar et @npmcli\/arborist, qui fournissent des fonctionnalit\u00e9s pour travailler avec des archives tar et calculer les arbres de d\u00e9pendances dans Node.js. Les vuln\u00e9rabilit\u00e9s permettent, lors de l'extraction d'une archive sp\u00e9cialement con\u00e7ue, d'\u00e9craser des fichiers en dehors du r\u00e9pertoire racine dans lequel l'extraction est effectu\u00e9e, dans la mesure o\u00f9 les droits d'acc\u00e8s actuels le permettent. Ces probl\u00e8mes offrent la possibilit\u00e9 d'ex\u00e9cuter du code arbitraire sur le syst\u00e8me, par exemple, en ajoutant des commandes dans ~\/.bashrc ou ~\/.profile lors de l'ex\u00e9cution de l'op\u00e9ration par un utilisateur non privil\u00e9gi\u00e9, ou en rempla\u00e7ant des fichiers syst\u00e8mes lors d'un lancement avec les droits root. <\/p>\n
Le danger des vuln\u00e9rabilit\u00e9s est aggrav\u00e9 par le fait que le code probl\u00e9matique est utilis\u00e9 dans le gestionnaire de paquets npm lors des op\u00e9rations avec les paquets npm, ce qui permet d'organiser une attaque contre les utilisateurs en publiant un paquet npm d\u00e9lib\u00e9r\u00e9ment con\u00e7u dans le d\u00e9p\u00f4t, dont le traitement ex\u00e9cutera le code malveillant dans le syst\u00e8me. L'attaque est m\u00eame possible lors de l'installation de paquets en mode \u00ab --ignore-scripts \u00bb, qui d\u00e9sactive l'ex\u00e9cution des scripts int\u00e9gr\u00e9s. Au total, npm est affect\u00e9 par quatre vuln\u00e9rabilit\u00e9s (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 et CVE-2021-39135) sur sept. Les deux premiers probl\u00e8mes concernent le paquet tar, tandis que les deux autres concernent le paquet @npmcli\/arborist. <\/p>\n
La vuln\u00e9rabilit\u00e9 la plus dangereuse, CVE-2021-32804, est caus\u00e9e par le fait que lors du nettoyage des chemins absolus sp\u00e9cifi\u00e9s dans l'archive tar, les caract\u00e8res r\u00e9p\u00e9t\u00e9s \u00ab \/ \u00bb sont mal trait\u00e9s : seul le premier caract\u00e8re est supprim\u00e9, tandis que les autres sont conserv\u00e9s. Par exemple, le chemin \u00ab \/home\/user\/.bashrc \u00bb sera transform\u00e9 en \u00ab home\/user\/.bashrc \u00bb, tandis que le chemin \u00ab \/\/home\/user\/.bashrc \u00bb deviendra \u00ab \/home\/user\/.bashrc \u00bb. La deuxi\u00e8me vuln\u00e9rabilit\u00e9, CVE-2021-37713, n'appara\u00eet que sur la plateforme Windows et est li\u00e9e \u00e0 un nettoyage incorrect des chemins relatifs incluant un caract\u00e8re de disque non s\u00e9par\u00e9 (\u00ab C:some\thepath \u00bb) et une s\u00e9quence de retour au r\u00e9pertoire pr\u00e9c\u00e9dent (\u00ab C:..\/foo \u00bb). <\/p>\n
Les vuln\u00e9rabilit\u00e9s CVE-2021-39134 et CVE-2021-39135 sont sp\u00e9cifiques au module @npmcli\/arborist. Le premier probl\u00e8me n'appara\u00eet que sur les syst\u00e8mes qui ne font pas de distinction de casse dans le syst\u00e8me de fichiers (macOS et Windows) et permet d'\u00e9crire des fichiers dans n'importe quelle partie du syst\u00e8me de fichiers en indiquant parmi les d\u00e9pendances deux modules \u00ab 'foo': 'file:\/some\/path' \u00bb et \u00ab 'FOO': 'file:foo.tgz' \u00bb, dont le traitement conduit \u00e0 la suppression du contenu du r\u00e9pertoire \/some\/path et \u00e0 l'\u00e9criture de son contenu dans foo.tgz. Le deuxi\u00e8me probl\u00e8me permet de remplacer des fichiers par la manipulation de liens symboliques. <\/p>\n
Les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es dans les versions Node.js 12.22.6 et 14.17.6, npm CLI 6.14.15 et 7.21.0, ainsi que dans des versions individuelles du paquet tar 4.4.19, 5.0.11 et 6.1.10. Ayant pris connaissance du probl\u00e8me dans le cadre de l'initiative \u00ab bug bounty \u00bb, GitHub a vers\u00e9 14 500 $ aux chercheurs et a analys\u00e9 le contenu du d\u00e9p\u00f4t, o\u00f9 aucune tentative d'exploitation des vuln\u00e9rabilit\u00e9s n'a \u00e9t\u00e9 d\u00e9tect\u00e9e. Pour se prot\u00e9ger contre les probl\u00e8mes mentionn\u00e9s, GitHub a \u00e9galement introduit une interdiction de publication dans le d\u00e9p\u00f4t de paquets npm contenant des liens symboliques, des liens durs et des chemins absolus. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"