ຊ່ອງໂຫວ່ຢູ່ໃນແພັກເກດ pac-resolver NPM ທີ່ມີ 3 ລ້ານດາວໂຫຼດຕໍ່ອາທິດ

ແພກເກດ pac-resolver NPM, ເຊິ່ງມີຫຼາຍກວ່າ 3 ລ້ານດາວໂຫລດຕໍ່ອາທິດ, ມີຊ່ອງຫວ່າງ (CVE-2021-23406) ທີ່ອະນຸຍາດໃຫ້ລະຫັດ JavaScript ຂອງມັນຖືກປະຕິບັດໃນສະພາບການຂອງແອັບພລິເຄຊັນເມື່ອສົ່ງຄໍາຮ້ອງຂໍ HTTP ຈາກໂຄງການ Node.js ທີ່. ຮອງຮັບຟັງຊັນການຕັ້ງຄ່າອັດຕະໂນມັດຂອງເຊີບເວີພຣັອກຊີ.

ແພກເກດ pac-resolver parses ໄຟລ໌ PAC ທີ່ປະກອບມີສະຄຣິບການຕັ້ງຄ່າພຣັອກຊີອັດຕະໂນມັດ. ໄຟລ໌ PAC ມີລະຫັດ JavaScript ປົກກະຕິທີ່ມີຟັງຊັນ FindProxyForURL ທີ່ກໍານົດເຫດຜົນສໍາລັບການເລືອກຕົວແທນໂດຍອີງຕາມເຈົ້າພາບແລະ URL ທີ່ຮ້ອງຂໍ. ໂດຍເນື້ອແທ້ແລ້ວຂອງຊ່ອງໂຫວ່ແມ່ນວ່າເພື່ອປະຕິບັດລະຫັດ JavaScript ນີ້ໃນ pac-resolver, VM API ທີ່ສະຫນອງໃຫ້ຢູ່ໃນ Node.js ໄດ້ຖືກນໍາໃຊ້, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດລະຫັດ JavaScript ໃນສະພາບການທີ່ແຕກຕ່າງກັນຂອງເຄື່ອງຈັກ V8.

API ທີ່ລະບຸໄວ້ຖືກໝາຍຢ່າງຈະແຈ້ງໃນເອກະສານວ່າບໍ່ມີຈຸດປະສົງເພື່ອແລ່ນລະຫັດທີ່ບໍ່ເຊື່ອຖືໄດ້, ເພາະວ່າມັນບໍ່ໃຫ້ການໂດດດ່ຽວທີ່ສົມບູນຂອງລະຫັດທີ່ກໍາລັງແລ່ນ ແລະອະນຸຍາດໃຫ້ເຂົ້າເຖິງບໍລິບົດຕົ້ນສະບັບ. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນ pac-resolver 5.0.0, ເຊິ່ງໄດ້ຖືກຍ້າຍໄປໃຊ້ຫ້ອງສະຫມຸດ vm2, ເຊິ່ງສະຫນອງການໂດດດ່ຽວໃນລະດັບທີ່ສູງກວ່າທີ່ເຫມາະສົມສໍາລັບການແລ່ນລະຫັດທີ່ບໍ່ຫນ້າເຊື່ອຖື.

ເມື່ອໃຊ້ pac-resolver ສະບັບທີ່ມີຄວາມສ່ຽງ, ຜູ້ໂຈມຕີໂດຍຜ່ານການສົ່ງໄຟລ໌ PAC ທີ່ຖືກອອກແບບພິເສດສາມາດບັນລຸການປະຕິບັດລະຫັດ JavaScript ຂອງລາວໃນສະພາບການຂອງລະຫັດຂອງໂຄງການທີ່ໃຊ້ Node.js, ຖ້າໂຄງການນີ້ໃຊ້ຫ້ອງສະຫມຸດທີ່ມີການເພິ່ງພາອາໄສ. ກັບ pac-resolver. ທີ່ນິຍົມຫຼາຍທີ່ສຸດຂອງຫ້ອງສະຫມຸດທີ່ມີບັນຫາແມ່ນ Proxy-Agent, ລະບຸວ່າເປັນການເພິ່ງພາອາໄສໂຄງການ 360, ລວມທັງ urlib, aws-cdk, mailgun.js ແລະ firebase-tools, ເຊິ່ງມີຫຼາຍກວ່າສາມລ້ານດາວໂຫລດຕໍ່ອາທິດ.

ຖ້າແອັບພລິເຄຊັນທີ່ມີຄວາມເພິ່ງພາອາໄສຂອງ pac-resolver ໂຫຼດໄຟລ໌ PAC ທີ່ສະໜອງໃຫ້ໂດຍລະບົບທີ່ຮອງຮັບໂປຣໂຕຄໍການຕັ້ງຄ່າອັດຕະໂນມັດຂອງພຣັອກຊີ WPAD, ຫຼັງຈາກນັ້ນ, ຜູ້ໂຈມຕີທີ່ມີການເຂົ້າເຖິງເຄືອຂ່າຍທ້ອງຖິ່ນສາມາດໃຊ້ການແຈກຢາຍການຕັ້ງຄ່າພຣັອກຊີຜ່ານ DHCP ເພື່ອໃສ່ໄຟລ໌ PAC ທີ່ເປັນອັນຕະລາຍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru