פגיעות בחבילת pac-resolver NPM עם 3 מיליון הורדות בשבוע

לחבילת pac-resolver NPM, שיש לה למעלה מ-3 מיליון הורדות בשבוע, יש נקודת תורפה (CVE-2021-23406) המאפשרת להפעיל את קוד ה-JavaScript שלה בהקשר של האפליקציה בעת שליחת בקשות HTTP מפרויקטים של Node.js אשר תומך בפונקציית תצורה אוטומטית של שרת פרוקסי.

חבילת pac-resolver מנתחת קבצי PAC הכוללים סקריפט תצורת proxy אוטומטי. קובץ PAC מכיל קוד JavaScript רגיל עם פונקציית FindProxyForURL המגדירה את ההיגיון לבחירת פרוקסי בהתאם למארח ולכתובת האתר המבוקשת. מהות הפגיעות היא שכדי להפעיל את קוד ה-JavaScript הזה ב-pac-resolver, נעשה שימוש ב-VM API המסופק ב-Node.js, המאפשר לך להפעיל קוד JavaScript בהקשר אחר של מנוע V8.

ה-API שצוין מסומן במפורש בתיעוד כלא מיועד להרצת קוד לא מהימן, מכיוון שהוא אינו מספק בידוד מוחלט של הקוד המופעל ומאפשר גישה להקשר המקורי. הבעיה נפתרה ב-pac-resolver 5.0.0, שהועבר לשימוש בספריית vm2, המספקת רמת בידוד גבוהה יותר המתאימה להפעלת קוד לא מהימן.

בעת שימוש בגרסה פגיעה של pac-resolver, תוקף באמצעות שידור של קובץ PAC שתוכנן במיוחד יכול להשיג ביצוע של קוד ה-JavaScript שלו בהקשר של הקוד של פרויקט באמצעות Node.js, אם פרויקט זה משתמש בספריות שיש להן תלות עם pac-resolver. הפופולרית ביותר מבין הספריות הבעייתיות היא Proxy-Agent, הרשומה כתלות ב-360 פרויקטים, כולל urllib, aws-cdk, mailgun.js ו-firebase-tools, הכוללים יותר משלושה מיליון הורדות בשבוע.

אם יישום שיש לו תלות ב-pac-resolver טוען קובץ PAC המסופק על ידי מערכת התומכת בפרוטוקול התצורה האוטומטית של WPAD proxy, אז תוקפים עם גישה לרשת המקומית יכולים להשתמש בהפצת הגדרות ה-proxy דרך DHCP כדי להכניס קבצי PAC זדוניים.

מקור: OpenNet.ru