270 เชชเซเชฐเซ‹เชœเซ‡เช•เซเชŸเซเชธเชฎเชพเช‚ เช‰เชชเชฏเซ‹เช—เชฎเชพเช‚ เชฒเซ‡เชตเชพเชคเชพ เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช• NPM เชชเซ‡เช•เซ‡เชœเชฎเชพเช‚ เชจเชฌเชณเชพเชˆ

เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช• NPM เชชเซ‡เช•เซ‡เชœเชฎเชพเช‚ เชเช• เชจเชฌเชณเชพเชˆ (CVE-3-270) เช“เชณเช–เชตเชพเชฎเชพเช‚ เช†เชตเซ€ เช›เซ‡, เชœเซ‡ เชฆเชฐ เช…เช เชตเชพเชกเชฟเชฏเซ‡ เชฒเช—เชญเช— 2021 เชฎเชฟเชฒเชฟเชฏเชจ เชกเชพเช‰เชจเชฒเซ‹เชกเซเชธ เชงเชฐเชพเชตเซ‡ เช›เซ‡ เช…เชจเซ‡ เชคเซ‡เชจเซ‹ เช‰เชชเชฏเซ‹เช— GitHub เชชเชฐ 28918 เชฅเซ€ เชตเชงเซ เชชเซเชฐเซ‹เชœเซ‡เช•เซเชŸเซเชธ เชชเชฐ เชจเชฟเชฐเซเชญเชฐเชคเชพ เชคเชฐเซ€เช•เซ‡ เชฅเชพเชฏ เช›เซ‡, เชœเซ‡ เชšเซ‡เช•เชจเซ‡ เชฌเชพเชฏเชชเชพเชธ เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡ เชจเซ‡เชŸเชฎเชพเชธเซเช•เชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเซ‡ เช›เซ‡. เชเชกเซเชฐเซ‡เชธ เชฐเซ‡เชจเซเชœเชฎเชพเช‚ เช…เชฅเชตเชพ เชซเชฟเชฒเซเชŸเชฐเชฟเช‚เช— เชฎเชพเชŸเซ‡ เช˜เชŸเชจเชพ. เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช• 2.0.0 เชจเชพ เชชเซเชฐเช•เชพเชถเชจเชฎเชพเช‚ เชธเชฎเชธเซเชฏเชพเชจเซ‡ เช เซ€เช• เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ€ เช›เซ‡.

เชจเชฌเชณเชพเชˆ เช†เช‚เชคเชฐเชฟเช• เชจเซ‡เชŸเชตเชฐเซเช•เชฎเชพเช‚เชฅเซ€ เชธเชฐเชจเชพเชฎเชพเช‚ เชคเชฐเซ€เช•เซ‡ เชฌเชพเชนเซเชฏ IP เชธเชฐเชจเชพเชฎเชพเช‚เชจเซ€ เชชเซเชฐเช•เซเชฐเชฟเชฏเชพเชจเซ‡ เชนเชพเช‚เชธเชฒ เช•เชฐเชตเชพเชจเซ€ เชฎเช‚เชœเซ‚เชฐเซ€ เช†เชชเซ‡ เช›เซ‡ เช…เชจเซ‡ เชคเซ‡เชจเชพเชฅเซ€ เชตเชฟเชชเชฐเซ€เชค, เช…เชจเซ‡ SSRF (เชธเชฐเซเชตเชฐ-เชธเชพเช‡เชก เชตเชฟเชจเช‚เชคเซ€ เชฌเชจเชพเชตเชŸเซ€) เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡, เชเชชเซเชฒเชฟเช•เซ‡เชถเชจเชฎเชพเช‚ เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช• เชฎเซ‹เชกเซเชฏเซเชฒเชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเชตเชพเชจเชพ เชšเซ‹เช•เซเช•เชธ เชคเชฐเซเช• เชธเชพเชฅเซ‡. RFI (เชฐเชฟเชฎเซ‹เชŸ เชซเชพเช‡เชฒ เช‡เชจเซเช•เซเชฒเซเชเชจ) เช…เชจเซ‡ LFI (เชธเซเชฅเชพเชจเชฟเช• เชซเชพเช‡เชฒ เช‡เชจเซเช•เซเชฒเซเชเชจ) เชนเซเชฎเชฒเชพเช“ ) เช†เช‚เชคเชฐเชฟเช• เชจเซ‡เชŸเชตเชฐเซเช• เชชเชฐ เชธเช‚เชธเชพเชงเชจเซ‹เชจเซ‡ เชเช•เซเชธเซ‡เชธ เช•เชฐเชตเชพ เช…เชจเซ‡ เชเช•เซเชเซ‡เช•เซเชฏเซเชถเชจ เชšเซ‡เช‡เชจเชฎเชพเช‚ เชฌเชพเชนเซเชฏ เช…เชฅเชตเชพ เชธเซเชฅเชพเชจเชฟเช• เชซเชพเช‡เชฒเซ‹เชจเซ‹ เชธเชฎเชพเชตเซ‡เชถ เช•เชฐเซ‡ เช›เซ‡. เชธเชฎเชธเซเชฏเชพ เช เช›เซ‡ เช•เซ‡, เชธเซเชชเชทเซเชŸเซ€เช•เชฐเชฃ เชฎเซเชœเชฌ, เชถเซ‚เชจเซเชฏ-เช†เชงเชพเชฐเชฟเชค เชธเชฐเชจเชพเชฎเชพเช‚ เชถเชฌเซเชฆเชฎเชพเชณเชพเช“ เช…เชทเซเชŸ เชธเช‚เช–เซเชฏเชพเช“ เชคเชฐเซ€เช•เซ‡ เช…เชฐเซเชฅเช˜เชŸเชจ เชฅเชตเซ€ เชœเซ‹เชˆเช, เชชเชฐเช‚เชคเซ "เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช•" เชฎเซ‹เชกเซเชฏเซเชฒ เช†เชจเซ‡ เชงเซเชฏเชพเชจเชฎเชพเช‚ เชฒเซ‡เชคเซเช‚ เชจเชฅเซ€ เช…เชจเซ‡ เชคเซ‡เชจเซ‡ เชฆเชถเชพเช‚เชถ เชธเช‚เช–เซเชฏเชพ เชคเชฐเซ€เช•เซ‡ เช—เชฃเซ‡ เช›เซ‡.

เช‰เชฆเชพเชนเชฐเชฃ เชคเชฐเซ€เช•เซ‡, เชนเซเชฎเชฒเชพเช–เซ‹เชฐ "0177.0.0.1" เชฎเซ‚เชฒเซเชฏเชจเซ‹ เช‰เชฒเซเชฒเซ‡เช– เช•เชฐเซ€เชจเซ‡ เชธเซเชฅเชพเชจเชฟเช• เชธเช‚เชธเชพเชงเชจเชจเซ€ เชตเชฟเชจเช‚เชคเซ€ เช•เชฐเซ€ เชถเช•เซ‡ เช›เซ‡, เชœเซ‡ "127.0.0.1" เชจเซ‡ เช…เชจเซเชฐเซ‚เชช เช›เซ‡, เชชเชฐเช‚เชคเซ "เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช•" เชฎเซ‹เชกเซเชฏเซเชฒ เชถเซ‚เชจเซเชฏเชจเซ‡ เช•เชพเชขเซ€ เชจเชพเช–เชถเซ‡, เช…เชจเซ‡ 0177.0.0.1" เชจเซ‡ "177.0.0.1" เชคเชฐเซ€เช•เซ‡ เช—เชฃเชถเซ‡. .127.0.0.1", เชœเซ‡ เชเชชเซเชฒเชฟเช•เซ‡เชถเชจเชฎเชพเช‚ เชเช•เซเชธเซ‡เชธ เชจเชฟเชฏเชฎเซ‹เชจเซเช‚ เชฎเซ‚เชฒเซเชฏเชพเช‚เช•เชจ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡ "0127.0.0.1" เชธเชพเชฅเซ‡ เช“เชณเช– เชจเช•เซเช•เซ€ เช•เชฐเชตเชพเชจเซ€ เชฎเช‚เชœเซ‚เชฐเซ€ เช†เชชเชถเซ‡ เชจเชนเซ€เช‚. เช เชœ เชฐเซ€เชคเซ‡, เชนเซเชฎเชฒเชพเช–เซ‹เชฐ "87.0.0.1" เชธเชฐเชจเชพเชฎเซเช‚ เชธเซเชชเชทเซเชŸ เช•เชฐเซ€ เชถเช•เซ‡ เช›เซ‡, เชœเซ‡ "127.0.0.1" เชœเซ‡เชตเซเช‚ เชœ เชนเซ‹เชตเซเช‚ เชœเซ‹เชˆเช, เชชเชฐเช‚เชคเซ "เชจเซ‹เชก-เชจเซ‡เชŸเชฎเชพเชธเซเช•" เชฎเซ‹เชกเซเชฏเซเชฒเชฎเชพเช‚ "012.0.0.1" เชคเชฐเซ€เช•เซ‡ เช—เชฃเชตเชพเชฎเชพเช‚ เช†เชตเชถเซ‡. เชคเซ‡เชตเซ€ เชœ เชฐเซ€เชคเซ‡, "10.0.0.1" ("12.0.0.1" เชจเซ€ เชธเชฎเช•เช•เซเชท" เชœเซ‡เชตเชพ เชฎเซ‚เชฒเซเชฏเซ‹เชจเซ‹ เช‰เชฒเซเชฒเซ‡เช– เช•เชฐเซ€เชจเซ‡ เช‡เชจเซเชŸเซเชฐเชพเชจเซ‡เชŸ เชธเชฐเชจเชพเชฎเชพเช‚เชจเซ€ เชเช•เซเชธเซ‡เชธ เชฎเชพเชŸเซ‡ เชคเชชเชพเชธเชตเชพเชจเซ€ เชฏเซเช•เซเชคเชฟ เช•เชฐเชตเซ€ เชถเช•เซเชฏ เช›เซ‡, เชชเชฐเช‚เชคเซ เชšเช•เชพเชธเชฃเซ€ เชฆเชฐเชฎเชฟเชฏเชพเชจ เชคเซ‡เชจเซ‡ XNUMX เชคเชฐเซ€เช•เซ‡ เช—เชฃเชตเชพเชฎเชพเช‚ เช†เชตเชถเซ‡).

เชธเช‚เชถเซ‹เชงเช•เซ‹ เชœเซ‡เชฎเชฃเซ‡ เชธเชฎเชธเซเชฏเชพเชจเซ‡ เช“เชณเช–เซ€ เช›เซ‡ เชคเซ‡เช“ เชธเชฎเชธเซเชฏเชพเชจเซ‡ เช†เชชเชคเซเชคเชฟเชœเชจเช• เช—เชฃเชพเชตเซ‡ เช›เซ‡ เช…เชจเซ‡ เช•เซ‡เชŸเชฒเชพเช• เชนเซเชฎเชฒเชพเชจเชพ เชฆเซƒเชถเซเชฏเซ‹ เชŸเชพเช‚เช•เซ‡ เช›เซ‡, เชชเชฐเช‚เชคเซ เชคเซ‡เชฎเชพเช‚เชจเชพ เชฎเซ‹เชŸเชพ เชญเชพเช—เชจเชพ เชธเชŸเซเชŸเชพเช•เซ€เชฏ เชฒเชพเช—เซ‡ เช›เซ‡. เช‰เชฆเชพเชนเชฐเชฃ เชคเชฐเซ€เช•เซ‡, เชคเซ‡ Node.js-เช†เชงเชพเชฐเชฟเชค เชเชชเซเชฒเชฟเช•เซ‡เชถเชจ เชชเชฐ เชนเซเชฎเชฒเซ‹ เช•เชฐเชตเชพเชจเซ€ เช•เซเชทเชฎเชคเชพ เชตเชฟเชถเซ‡ เชตเชพเชค เช•เชฐเซ‡ เช›เซ‡ เชœเซ‡ เชชเชฐเชฟเชฎเชพเชฃเซ‹ เช…เชฅเชตเชพ เช‡เชจเชชเซเชŸ เชตเชฟเชจเช‚เชคเซ€ เชกเซ‡เชŸเชพเชจเชพ เช†เชงเชพเชฐเซ‡ เชธเช‚เชธเชพเชงเชจเชจเซ€ เชตเชฟเชจเช‚เชคเซ€ เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡ เชฌเชพเชนเซเชฏ เชœเซ‹เชกเชพเชฃเซ‹ เชธเซเชฅเชพเชชเชฟเชค เช•เชฐเซ‡ เช›เซ‡, เชชเชฐเช‚เชคเซ เชเชชเซเชฒเชฟเช•เซ‡เชถเชจเชจเซเช‚ เชจเชพเชฎ เช…เชฅเชตเชพ เชตเชฟเช—เชคเชตเชพเชฐ เชตเชฐเซเชฃเชจ เชจเชฅเซ€. เชœเซ‹ เชคเชฎเชจเซ‡ เชเชชเซเชฒเซ€เช•เซ‡เชถเชจเซ‹ เชฎเชณเซ‡ เช•เซ‡ เชœเซ‡ เชฆเชพเช–เชฒ เช•เชฐเซ‡เชฒ IP เชธเชฐเชจเชพเชฎเชพเช‚เช“ เชชเชฐ เช†เชงเชพเชฐเชฟเชค เชธเช‚เชธเชพเชงเชจเซ‹ เชฒเซ‹เชก เช•เชฐเซ‡ เช›เซ‡, เชคเซ‹ เชคเซ‡ เชธเช‚เชชเซ‚เชฐเซเชฃเชชเชฃเซ‡ เชธเซเชชเชทเซเชŸ เชจเชฅเซ€ เช•เซ‡ เชตเซเชฏเชตเชนเชพเชฐเชฎเชพเช‚ เชธเซเชฅเชพเชจเชฟเช• เชจเซ‡เชŸเชตเชฐเซเช• เชธเชพเชฅเซ‡ เช•เชจเซ‡เช•เซเชŸ เชฅเชฏเชพ เชตเชฟเชจเชพ เช…เชฅเชตเชพ "เชฎเชฟเชฐเชฐ" IP เชธเชฐเชจเชพเชฎเชพเช‚ เชชเชฐ เชจเชฟเชฏเช‚เชคเซเชฐเชฃ เชฎเซ‡เชณเชตเซเชฏเชพ เชตเชฟเชจเชพ เชจเชฌเชณเชพเชˆ เช•เซ‡เชตเซ€ เชฐเซ€เชคเซ‡ เชฒเชพเช—เซ เช•เชฐเซ€ เชถเช•เชพเชฏ.

เชธเช‚เชถเซ‹เชงเช•เซ‹ เชฎเชพเชคเซเชฐ เชเชตเซเช‚ เชฎเชพเชจเซ‡ เช›เซ‡ เช•เซ‡ 87.0.0.1 (เชŸเซ‡เชฒเชฟเช•เซ‹เชฎ เช‡เชŸเชพเชฒเชฟเชฏเชพ) เช…เชจเซ‡ 0177.0.0.1 (เชฌเซเชฐเชพเชเชฟเชฒ เชŸเซ‡เชฒเชฟเช•เซ‹เชฎ) เชจเชพ เชฎเชพเชฒเชฟเช•เซ‹ 127.0.0.1 เชธเซเชงเซ€เชจเชพ เชเช•เซเชธเซ‡เชธ เชชเซเชฐเชคเชฟเชฌเช‚เชงเชจเซ‡ เชฌเชพเชฏเชชเชพเชธ เช•เชฐเชตเชพเชจเซ€ เช•เซเชทเชฎเชคเชพ เชงเชฐเชพเชตเซ‡ เช›เซ‡. เชเชชเซเชฒเชฟเช•เซ‡เชถเชจ เชฌเชพเชœเซ เชชเชฐ เช…เชฎเชฒเชฎเชพเช‚ เชฎเซ‚เช•เชพเชฏเซ‡เชฒ เชตเชฟเชตเชฟเชง เชฌเซเชฒเซ‹เช• เชธเซ‚เชšเชฟเช“เชจเซ‡ เชฌเชพเชฏเชชเชพเชธ เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡ เชจเชฌเชณเชพเชˆเชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเชตเซ‹ เช เชตเชงเซ เชตเชพเชธเซเชคเชตเชฟเช• เชฆเซƒเชถเซเชฏ เช›เซ‡. เช† เชฎเซเชฆเซเชฆเซ‹ "เช–เชพเชจเช—เซ€-ip" NPM เชฎเซ‹เชกเซเชฏเซเชฒเชฎเชพเช‚ เช‡เชจเซเชŸเซเชฐเชพเชจเซ‡เชŸ เชฐเซ‡เชจเซเชœเชจเซ€ เชตเซเชฏเชพเช–เซเชฏเชพ เชถเซ‡เชฐ เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡ เชชเชฃ เชฒเชพเช—เซ เช•เชฐเซ€ เชถเช•เชพเชฏ เช›เซ‡.

เชธเซ‹เชฐเซเชธ: opennet.ru

เชเช• เชŸเชฟเชชเซเชชเชฃเซ€ เช‰เชฎเซ‡เชฐเซ‹