De Pac-Resolver NPM Package, deen iwwer 3 Milliounen Downloads pro Woch huet, huet eng Schwachstelle (CVE-2021-23406) déi et erlaabt datt säi JavaScript Code am Kontext vun der Applikatioun ausgefouert gëtt wann Dir HTTP-Ufroe vun Node.js Projeten schéckt déi Ënnerstëtzung Proxy Server Auto-Configuratioun Funktioun.
De Pac-Resolver Package parséiert PAC Dateien déi en automatesche Proxy Konfiguratiounsskript enthalen. D'PAC-Datei enthält regelméisseg JavaScript Code mat enger FindProxyForURL Funktioun déi d'Logik definéiert fir e Proxy ze wielen ofhängeg vum Host an der ugefrote URL. D'Essenz vun der Schwachstelle ass datt fir dëse JavaScript Code am Pac-Resolver auszeféieren, gouf de VM API, deen an Node.js geliwwert gëtt, benotzt, wat Iech erlaabt JavaScript Code an engem anere Kontext vum V8-Motor auszeféieren.
Déi spezifizéiert API ass explizit an der Dokumentatioun markéiert als net geduecht fir net zouverléissege Code ze lafen, well et keng komplett Isolatioun vum Code ubitt, deen ausgefouert gëtt an Zougang zum ursprénglechen Kontext erlaabt. D'Thema gouf am Pac-Resolver 5.0.0 geléist, dee geplënnert gouf fir d'vm2 Bibliothéik ze benotzen, déi e méi héijen Isolatiounsniveau ubitt, dee gëeegent ass fir net vertraute Code ze lafen.
Wann Dir eng vulnerabel Versioun vum Pac-Resolver benotzt, kann en Ugräifer duerch d'Transmissioun vun enger speziell entwéckelter PAC-Datei d'Ausféierung vu sengem JavaScript Code am Kontext vum Code vun engem Projet mat Node.js erreechen, wann dëse Projet Bibliothéike benotzt déi Ofhängegkeeten hunn mat pac-Resolver. Déi beléifste vun de problematesch Bibliothéiken ass Proxy-Agent, opgezielt als Ofhängegkeet op 360 Projeten, dorënner urllib, aws-cdk, mailgun.js a Firebase-Tools, am Ganzen méi wéi dräi Milliounen Downloads pro Woch.
Wann eng Applikatioun, déi Ofhängegkeete vum Pac-Resolver huet, eng PAC-Datei lued, déi vun engem System geliwwert gëtt, deen de WPAD Proxy automatesch Konfiguratiounsprotokoll ënnerstëtzt, da kënnen Ugräifer mat Zougang zum lokalen Netzwierk d'Verdeelung vu Proxy-Astellungen iwwer DHCP benotzen fir béiswëlleg PAC Dateien anzeginn.
Source: opennet.ru