დაუცველობა NPM-ში, რომელიც იწვევს სისტემაში ფაილების გადაწერას

GitHub-მა გამოავლინა შვიდი დაუცველობის დეტალები tar და @npmcli/arborist პაკეტებში, რომლებიც უზრუნველყოფენ tar არქივებთან მუშაობის ფუნქციებს და Node.js-ში დამოკიდებულების ხის გამოთვლას. დაუცველობა საშუალებას იძლევა, სპეციალურად შექმნილი არქივის ამოხსნისას, გადაიწეროს ფაილები root დირექტორიას გარეთ, სადაც განთავსება ხორციელდება, რამდენადაც ამჟამინდელი წვდომის უფლება იძლევა საშუალებას. პრობლემები შესაძლებელს ხდის სისტემაში თვითნებური კოდის შესრულების ორგანიზებას, მაგალითად, ~/.bashrc ან ~/.პროფილზე ბრძანებების დამატებით, როდესაც ოპერაციას ასრულებს არაპრივილეგირებული მომხმარებელი, ან სისტემის ფაილების ჩანაცვლებით, როდესაც მუშაობს როგორც ფესვი.

დაუცველობის საფრთხეს ამძიმებს ის ფაქტი, რომ პრობლემური კოდი გამოიყენება npm პაკეტის მენეჯერში npm პაკეტებით ოპერაციების შესრულებისას, რაც შესაძლებელს ხდის მომხმარებლებზე თავდასხმის ორგანიზებას სპეციალურად შექმნილი npm პაკეტის საცავში განთავსებით, დამუშავებით. რომელთაგან სისტემაზე შეასრულებს თავდამსხმელის კოდს. შეტევა შესაძლებელია მაშინაც კი, როდესაც პაკეტები დაინსტალირებთ "-იგნორირება-სკრიპტების" რეჟიმში, რაც გამორთავს ჩაშენებული სკრიპტების შესრულებას. საერთო ჯამში, npm გავლენას ახდენს ოთხ დაუცველობაზე (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 და CVE-2021-39135) შვიდიდან. პირველი ორი პრობლემა ეხება tar პაკეტს, ხოლო დანარჩენი ორი ეხება @npmcli/arborist პაკეტს.

ყველაზე საშიში დაუცველობა, CVE-2021-32804, გამოწვეულია იმით, რომ tar-ის არქივში მითითებული აბსოლუტური ბილიკების გასუფთავებისას, განმეორებითი „/“ სიმბოლოები არასწორად მუშავდება — მხოლოდ პირველი სიმბოლო იშლება, დანარჩენი კი რჩება. მაგალითად, ბილიკი "/home/user/.bashrc" გარდაიქმნება "home/user/.bashrc"-ად, ხოლო ბილიკი "//home/user/.bashrc" -ში "/home/user/.bashrc". მეორე დაუცველობა, CVE-2021-37713, ჩნდება მხოლოდ Windows პლატფორმაზე და ასოცირდება ნათესავი ბილიკების არასწორ გაწმენდასთან, რომელიც მოიცავს დისკის შეუზღუდავ სიმბოლოს („C:some\path“) და წინა დირექტორიაში დაბრუნების თანმიმდევრობას ( „C:../foo“).

დაუცველობა CVE-2021-39134 და CVE-2021-39135 სპეციფიკურია @npmcli/arborist მოდულისთვის. პირველი პრობლემა ჩნდება მხოლოდ სისტემებზე, რომლებიც არ განასხვავებენ ფაილურ სისტემაში სიმბოლოების შემთხვევას (macOS და Windows) და საშუალებას გაძლევთ დაწეროთ ფაილები ფაილური სისტემის თვითნებურ ნაწილზე დამოკიდებულებებს შორის ორი მოდულის "foo" მითითებით. : "file:/some/path"' და ' FOO: "file:foo.tgz"', რომელთა დამუშავება გამოიწვევს /some/path დირექტორიაში შიგთავსის წაშლას და მასში foo.tgz-ის შიგთავსის ჩაწერას. მეორე პრობლემა საშუალებას აძლევს ფაილებს გადაიწეროს სიმბოლური ბმულით მანიპულირების გზით.

დაუცველობა მოგვარებულია Node.js 12.22.6 და 14.17.6, npm CLI 6.14.15 და 7.21.0 და ინდივიდუალური tar პაკეტის 4.4.19, 5.0.11 და 6.1.10 გამოშვებებში. პრობლემის შესახებ ინფორმაციის მიღების შემდეგ, როგორც „bug bounty“ ინიციატივის ნაწილი, GitHub-მა მკვლევარებს გადაუხადა 14500 დოლარი და დაასკანირა საცავის შინაარსი, რომელიც არ გამოავლენდა დაუცველობების ექსპლუატაციის მცდელობებს. ამ პრობლემებისგან თავის დასაცავად, GitHub-მა ასევე აკრძალა NPM პაკეტების გამოქვეყნება, რომლებიც შეიცავს სიმბოლურ ბმულებს, მყარ ბმულებს და საცავამდე აბსოლუტურ ბილიკებს.

წყარო: opennet.ru