ភាពងាយរងគ្រោះនៅក្នុង NPM ដែលអនុញ្ញាតឱ្យឯកសារបំពានត្រូវបានកែប្រែកំឡុងពេលដំឡើងកញ្ចប់

នៅក្នុងការអាប់ដេតកម្មវិធីគ្រប់គ្រងកញ្ចប់ NPM 6.13.4 រួមបញ្ចូលក្នុងការចែកចាយ Node.js និងប្រើដើម្បីចែកចាយម៉ូឌុលនៅក្នុងភាសា JavaScript ។ លុបចោល ភាពងាយរងគ្រោះចំនួនបី (CVE-2019-16775, CVE-2019-16776 и CVE-2019-16777) ដែលអនុញ្ញាតឱ្យឯកសារប្រព័ន្ធបំពានត្រូវបានកែប្រែ ឬសរសេរជាន់លើនៅពេលដំឡើងកញ្ចប់ដែលរៀបចំដោយអ្នកវាយប្រហារ។ ក្នុងនាមជាដំណោះស្រាយសម្រាប់ការការពារ អ្នកអាចដំឡើងវាដោយប្រើជម្រើស "-ignore-scripts" ដែលហាមឃាត់ការប្រតិបត្តិកញ្ចប់ឧបករណ៍ដោះស្រាយដែលភ្ជាប់មកជាមួយ។ អ្នកអភិវឌ្ឍន៍ NPM បានវិភាគកញ្ចប់ដែលមាននៅក្នុងឃ្លាំង ហើយមិនបានរកឃើញដាននៃបញ្ហាដែលបានកំណត់អត្តសញ្ញាណដែលត្រូវបានប្រើដើម្បីអនុវត្តការវាយប្រហារនោះទេ។

CVE-2019-16777 លេចឡើង នៅក្នុងការចេញផ្សាយមុន 6.13.4 និងអនុញ្ញាតឱ្យអ្នកសរសេរជាន់លើឯកសារដែលអាចប្រតិបត្តិបានរបស់ប្រព័ន្ធកំឡុងពេលដំឡើងកញ្ចប់សកល។ អ្នកអាចជំនួសឯកសារនៅក្នុងថតគោលដៅដែលឯកសារដែលអាចប្រតិបត្តិបានត្រូវបានដំឡើង (ជាធម្មតា /usr/local/bin) ។

CVE-2019-16775 и CVE-2019-16776 លេចឡើងនៅក្នុងការចេញផ្សាយមុន 6.13.3 និងអនុញ្ញាតឱ្យអ្នកសរសេរឯកសារបំពានដោយបង្កើតតំណភ្ជាប់និមិត្តសញ្ញាទៅឯកសារនៅខាងក្រៅថតដែលមានម៉ូឌុល (node_modules) ឬដោយរៀបចំវាល bin នៅក្នុង package.json (ផ្លូវជាមួយ "/../" ត្រូវបាន អនុញ្ញាត​ក្នុង​ធុង​សំរាម)។

ប្រភព: opennet.ru