{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Vulnerabilit\u00e0 in NPM che porta alla sovrascrittura di file nel sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda GitHub ha rivelato i dettagli su sette vulnerabilit\u00e0 nei pacchetti tar e @npmcli\/arborist, che offrono funzionalit\u00e0 per lavorare con archivi tar e calcolare l'albero delle dipendenze in Node.js. Le vulnerabilit\u00e0 consentono di sovrascrivere file al di fuori della directory principale in cui avviene l'estrazione, a seconda dei diritti di accesso attuali, durante l'estrazione di un archivio appositamente formattato. Questi problemi permettono di eseguire codice arbitrario nel sistema, ad esempio, attraverso l'aggiunta di comandi in ~\/ .bashrc o ~\/ .profile durante l'esecuzione dell'operazione da parte di un utente privo di privilegi, oppure sostituendo file di sistema quando l'operazione viene eseguita con i diritti di root. <\/p>\n
Il rischio delle vulnerabilit\u00e0 \u00e8 aggravato dal fatto che il codice problematico \u00e8 utilizzato nel gestore di pacchetti npm durante le operazioni con i pacchetti npm, consentendo di organizzare un attacco agli utenti inserendo un pacchetto npm appositamente formattato nel repository, il cui codice sar\u00e0 eseguito nel sistema durante l'elaborazione. L'attacco pu\u00f2 avvenire anche installando pacchetti in modalit\u00e0 «—ignore-scripts», che disabilita l'esecuzione degli script incorporati. In totale, npm \u00e8 colpito da quattro vulnerabilit\u00e0 (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 e CVE-2021-39135) su sette. I primi due problemi riguardano il pacchetto tar, mentre gli altri due riguardano il pacchetto @npmcli\/arborist. <\/p>\n
La vulnerabilit\u00e0 pi\u00f9 grave, CVE-2021-32804, \u00e8 dovuta al fatto che durante la pulizia dei percorsi assoluti specificati nell'archivio tar, i caratteri ripetuti « \/ » vengono elaborati in modo errato: solo il primo carattere viene rimosso, mentre gli altri vengono lasciati. Ad esempio, il percorso « \/home\/user\/.bashrc » verr\u00e0 trasformato in « home\/user\/.bashrc », mentre il percorso « \/\/home\/user\/.bashrc » diventer\u00e0 « \/home\/user\/.bashrc ». La seconda vulnerabilit\u00e0, CVE-2021-37713, si manifesta solo su piattaforme Windows ed \u00e8 legata a una pulizia errata dei percorsi relativi che includono il simbolo di unit\u00e0 non separato (« C:some\to\/path ») e la sequenza per tornare alla directory precedente (« C:..\/foo »). <\/p>\n
Le vulnerabilit\u00e0 CVE-2021-39134 e CVE-2021-39135 sono specifiche per il modulo @npmcli\/arborist. Il primo problema si manifesta solo su sistemi che non differenziano maiuscole da minuscole nel file system (macOS e Windows) e consente di scrivere file in parti arbitrarie del file system, specificando tra le dipendenze due moduli ‘»foo»: «file:\/some\/path»‘ e ‘FOO: «file:foo.tgz»‘, il cui trattamento porter\u00e0 alla cancellazione del contenuto della directory \/some\/path e alla scrittura del contenuto di foo.tgz in essa. Il secondo problema consente di sovrascrivere file tramite la manipolazione di collegamenti simbolici. <\/p>\n
Le vulnerabilit\u00e0 sono state risolte nelle versioni di Node.js 12.22.6 e 14.17.6, npm CLI 6.14.15 e 7.21.0, cos\u00ec come in versioni specifiche del pacchetto tar 4.4.19, 5.0.11 e 6.1.10. Ricevendo informazioni sul problema nell'ambito dell'iniziativa «bug bounty», GitHub ha pagato ai ricercatori $14500 e ha scansionato il contenuto del repository, in cui non sono state rilevate tentativi di sfruttamento delle vulnerabilit\u00e0. Per proteggere da questi problemi, GitHub ha anche introdotto un divieto di pubblicazione di pacchetti NPM nel repository che includono collegamenti simbolici, collegamenti fissi e percorsi assoluti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"