{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Vulnerabilit\u00e0 in NPM che pu\u00f2 portare alla sovrascrittura dei file nel sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda GitHub ha rivelato dettagli su sette vulnerabilit\u00e0 nei pacchetti tar e @npmcli\/arborist, che offrono funzionalit\u00e0 per la gestione di archivi tar e il calcolo dell'albero delle dipendenze in Node.js. Le vulnerabilit\u00e0 consentono, durante l'estrazione di un archivio appositamente formattato, di sovrascrivere file al di fuori della directory radice in cui avviene l'estrazione, a seconda dei permessi correnti. Questi problemi permettono di eseguire codice arbitrario nel sistema, ad esempio aggiungendo comandi a ~\/ .bashrc o ~\/ .profile durante l'operazione eseguita da un utente non privilegiato o sostituendo file di sistema quando eseguiti con i privilegi di root. <\/p>\n
Il pericolo delle vulnerabilit\u00e0 \u00e8 accentuato dal fatto che il codice problematico \u00e8 utilizzato nel gestore di pacchetti npm durante le operazioni con i pacchetti npm. Questo consente di organizzare un attacco agli utenti, pubblicando un pacchetto npm appositamente creato in un repository, il quale eseguir\u00e0 il codice dell'attaccante nel sistema durante la sua elaborazione. L'attacco \u00e8 possibile anche durante l'installazione dei pacchetti in modalit\u00e0 «—ignore-scripts», che disabilita l'esecuzione degli script incorporati. In totale, npm \u00e8 affetto da quattro vulnerabilit\u00e0 (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 e CVE-2021-39135) su sette. Le prime due problematiche riguardano il pacchetto tar, mentre le altre due sono relative al pacchetto @npmcli\/arborist. <\/p>\n
La vulnerabilit\u00e0 pi\u00f9 critica CVE-2021-32804 \u00e8 causata dal fatto che, durante la pulizia dei percorsi assoluti specificati nell'archivio tar, i caratteri ripetuti «\/» vengono elaborati in modo errato: viene rimosso solo il primo carattere, mentre gli altri rimangono. Ad esempio, il percorso «\/home\/user\/.bashrc» verr\u00e0 trasformato in «home\/user\/.bashrc», mentre il percorso «\/\/home\/user\/.bashrc» diventa «\/home\/user\/.bashrc». La seconda vulnerabilit\u00e0 CVE-2021-37713 si manifesta solo sulla piattaforma Windows ed \u00e8 legata a una pulizia errata dei percorsi relativi che includono un simbolo di unit\u00e0 non separato («C:some\path») e una sequenza per tornare alla cartella precedente («C:..\/foo»). <\/p>\n
Le vulnerabilit\u00e0 CVE-2021-39134 e CVE-2021-39135 sono specifiche per il modulo @npmcli\/arborist. La prima problematica si manifesta solo su sistemi che non differenziano mai maiuscole e minuscole nel file system (macOS e Windows) e consente di scrivere file in parti arbitrari del file system, indicando come dipendenze due moduli ‘»foo»: «file:\/some\/path»‘ e ‘FOO: «file:foo.tgz»‘, la cui elaborazione porter\u00e0 alla cancellazione del contenuto della directory \/some\/path e alla scrittura al suo interno del contenuto di foo.tgz. La seconda problematica consente di sovrascrivere file tramite manipolazioni con i link simbolici. <\/p>\n
Le vulnerabilit\u00e0 sono state risolte nelle versioni Node.js 12.22.6 e 14.17.6, npm CLI 6.14.15 e 7.21.0, oltre che in versioni singole del pacchetto tar 4.4.19, 5.0.11 e 6.1.10. Dopo aver ricevuto informazioni sulla problematica nell'ambito dell'iniziativa «bug bounty», GitHub ha erogato $14500 agli \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c e ha scandagliato il contenuto del repository, nel quale non sono state rilevate tentativi di sfruttamento delle vulnerabilit\u00e0. Per proteggere da questi problemi, GitHub ha anche introdotto un divieto alla pubblicazione di pacchetti NPM nei repository che includono link simbolici, link rigidi e percorsi assoluti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"