प्रति सप्ताह 3 मिलियन डाउनलोड के साथ पीएसी-रिज़ॉल्वर एनपीएम पैकेज में भेद्यता

पीएसी-रिज़ॉल्वर एनपीएम पैकेज, जिसके प्रति सप्ताह 3 मिलियन से अधिक डाउनलोड हैं, में एक भेद्यता (सीवीई-2021-23406) है जो नोड.जेएस परियोजनाओं से HTTP अनुरोध भेजते समय अपने जावास्क्रिप्ट कोड को एप्लिकेशन के संदर्भ में निष्पादित करने की अनुमति देता है। प्रॉक्सी सर्वर ऑटो-कॉन्फ़िगरेशन फ़ंक्शन का समर्थन करें।

पीएसी-रिज़ॉल्वर पैकेज पीएसी फ़ाइलों को पार्स करता है जिसमें एक स्वचालित प्रॉक्सी कॉन्फ़िगरेशन स्क्रिप्ट शामिल होती है। PAC फ़ाइल में FindProxyForURL फ़ंक्शन के साथ नियमित जावास्क्रिप्ट कोड होता है जो होस्ट और अनुरोधित URL के आधार पर प्रॉक्सी चुनने के तर्क को परिभाषित करता है। भेद्यता का सार यह है कि पीएसी-रिज़ॉल्वर में इस जावास्क्रिप्ट कोड को निष्पादित करने के लिए, Node.js में प्रदान की गई VM API का उपयोग किया गया था, जो आपको V8 इंजन के एक अलग संदर्भ में जावास्क्रिप्ट कोड को निष्पादित करने की अनुमति देता है।

निर्दिष्ट एपीआई को दस्तावेज़ में स्पष्ट रूप से चिह्नित किया गया है क्योंकि यह अविश्वसनीय कोड चलाने के लिए अभिप्रेत नहीं है, क्योंकि यह चलाए जा रहे कोड का पूर्ण अलगाव प्रदान नहीं करता है और मूल संदर्भ तक पहुंच की अनुमति देता है। समस्या को पीएसी-रिज़ॉल्वर 5.0.0 में हल कर दिया गया है, जिसे वीएम2 लाइब्रेरी का उपयोग करने के लिए स्थानांतरित कर दिया गया है, जो अविश्वसनीय कोड चलाने के लिए उपयुक्त उच्च स्तर का अलगाव प्रदान करता है।

पीएसी-रिज़ॉल्वर के एक कमजोर संस्करण का उपयोग करते समय, एक विशेष रूप से डिज़ाइन की गई पीएसी फ़ाइल के प्रसारण के माध्यम से एक हमलावर नोड.जेएस का उपयोग करके किसी प्रोजेक्ट के कोड के संदर्भ में अपने जावास्क्रिप्ट कोड के निष्पादन को प्राप्त कर सकता है, यदि यह प्रोजेक्ट निर्भरता वाले पुस्तकालयों का उपयोग करता है पीएसी-रिज़ॉल्वर के साथ। समस्याग्रस्त पुस्तकालयों में सबसे लोकप्रिय प्रॉक्सी-एजेंट है, जो 360 परियोजनाओं पर निर्भरता के रूप में सूचीबद्ध है, जिसमें यूआरएलआईबी, एडब्ल्यूएस-सीडीके, मेलगन.जेएस और फायरबेस-टूल्स शामिल हैं, प्रति सप्ताह कुल तीन मिलियन से अधिक डाउनलोड हैं।

यदि पीएसी-रिज़ॉल्वर पर निर्भरता वाला कोई एप्लिकेशन WPAD प्रॉक्सी स्वचालित कॉन्फ़िगरेशन प्रोटोकॉल का समर्थन करने वाले सिस्टम द्वारा प्रदान की गई पीएसी फ़ाइल को लोड करता है, तो स्थानीय नेटवर्क तक पहुंच वाले हमलावर दुर्भावनापूर्ण पीएसी फ़ाइलों को डालने के लिए डीएचसीपी के माध्यम से प्रॉक्सी सेटिंग्स के वितरण का उपयोग कर सकते हैं।

स्रोत: opennet.ru