🥇Az NPM sérülékenysége, amely lehetővé teszi tetszőleges fájlok módosítását csomag telepítésekor

A Node.js szállítmányával érkező NPM 6.13.4 csomagkezelő frissítés, amelyet JavaScript modulok terjesztésére használnak, elhárítottak három sebezhetőség (CVE-2019-16775, CVE-2019-16776 és CVE-2019-16777), amelyek lehetővé teszik a támadó által előkészített csomag telepítésekor tetszőleges rendszerfájlok módosítását vagy felülírását. A védelem megkerülésére alternatív megoldásként a "--ignore-scripts" opcióval történő telepítés javasolt, amely megtiltja a beépített csomagkezelők futtatását. Az NPM fejlesztői átvizsgálták a tárolóban található csomagokat, és nem találták nyomát a felfedezett problémák kihasználásának támadások elkövetésére.

CVE-2019-16777 manifests A 6.13.4 előtti verziókban jelentkezik, és lehetővé teszi a rendszer végrehajtható fájljainak felülírását a csomag globális telepítésekor. Csak a célkönyvtárban található fájlok helyettesíthetők, ahová a végrehajtható fájlokat telepítik (általában /usr/local/bin).

CVE-2019-16775 és CVE-2019-16776 A 6.13.3 előtti verziókban jelentkezik, és lehetőséget ad arra, hogy szimbolikus link létrehozásával tetszőleges fájlokat írjunk át a modulok (node_modules) könyvtárán kívül, vagy a package.json bin mezőjének manipulálásával (a bin mezőben megengedett a "../"-val történő útvonalhasználat).

Forrás: opennet.ru

Az NPM-ben felfedezett sebezhetőség lehetővé teszi tetszőleges fájlok módosítását a csomag telepítésekor.