Nel pacchetto NPM pac-resolver, che conta oltre 3 milioni di download a settimana, è stata identificata una vulnerabilità (CVE-2021-23406) che consente di eseguire codice JavaScript non autorizzato nel contesto dell'applicazione durante l'invio di richieste HTTP da progetti Node.js che supportano la funzione di autoconfigurazione del proxy.
Il pacchetto pac-resolver analizza i file PAC, che includono uno script di autoconfigurazione del proxy. Un file PAC contiene codice JavaScript standard con la funzione FindProxyForURL, che definisce la logica per la scelta del proxy in base all'host e all'URL richiesto. La vulnerabilità consiste nel fatto che, per eseguire questo codice JavaScript in pac-resolver, veniva utilizzata un'API VM fornita da Node.js, che consente di eseguire codice JavaScript in un contesto diverso dal motore V8.
Questa API è esplicitamente contrassegnata nella documentazione come non destinata all'esecuzione di codice non fidato, poiché non fornisce un'isolamento completo per il codice eseguito e consente di accedere al contesto originale. Il problema è stato risolto nella versione pac-resolver 5.0.0, che è stata aggiornata per utilizzare la libreria vm2, che offre un livello di isolamento superiore adatto all'esecuzione di codice non fidato.
Utilizzando una versione vulnerabile di pac-resolver, un attaccante può ottenere l'esecuzione del proprio codice JavaScript nel contesto del codice del progetto che utilizza Node.js, se nel progetto sono incluse librerie che dipendono da pac-resolver. La libreria più nota con questo problema è Proxy-Agent, elencata tra le dipendenze di 360 progetti, inclusi urllib, aws-cdk, mailgun.js e firebase-tools, che insieme superano i tre milioni di download a settimana.
Se un'applicazione che ha dipendenze da pac-resolver carica un file PAC fornito da un sistema che supporta il protocollo di autoconfigurazione del proxy WPAD, gli aggressori con accesso alla rete locale possono sfruttare la diffusione delle impostazioni proxy tramite DHCP per inserire file PAC dannosi.
Fonte: opennet.ru
