🥇Sigurnosna ranjivost u NPM-u koja omogućava promjenu proizvoljnih datoteka prilikom instalacije paketa

U ažuriranju paketnog menadžera NPM 6.13.4, koji dolazi s Node.js i koristi se za distribuciju modula u programskom jeziku JavaScript, ispravljene su tri ranjivosti (CVE-2019-16775, CVE-2019-16776 i CVE-2019-16777), koje omogućavaju modificiranje ili prepisivanje proizvoljnih sistemskih datoteka prilikom instalacije paketa koji je pripremio napadač. Kao obilaženje zaštite može se koristiti opcija "—ignore-scripts" prilikom instalacije, koja onemogućava izvršavanje ugrađenih paketa. Razvijači NPM-a analizirali su dostupne pakete u repozitoriju i nisu pronašli znakove korištenja otkrivenih problema za izvođenje napada.

CVE-2019-16777 javlja se u verzijama do 6.13.4 i omogućava prepisivanje sistemskih izvršnih datoteka tijekom globalne instalacije paketa. Mogu se zamijeniti samo datoteke u ciljanom direktoriju gdje se instaliraju izvršne datoteke (obično /usr/local/bin).

CVE-2019-16775 i CVE-2019-16776 javlja se u verzijama do 6.13.3 i omogućava upisivanje proizvoljne datoteke putem stvaranja simboličke poveznice na datoteke izvan direktorija s modulima (node_modules) ili manipulacijom s poljem bin u package.json (u polju bin dopušteno je korištenje putanja s "../").

Izvor: opennet.ru