Ранливост во пакетот NPM со 3 милиони преземања неделно

Пакетот NPM-резолатор на pac, кој има над 3 милиони преземања неделно, има ранливост (CVE-2021-23406) што дозволува неговиот JavaScript код да се изврши во контекст на апликацијата при испраќање HTTP барања од проектите на Node.js кои поддршка на функцијата за автоматска конфигурација на прокси-серверот.

Пакетот pac-resolver ги анализира PAC-датотеките што вклучуваат скрипта за автоматска конфигурација на прокси. PAC-датотеката содржи редовен JavaScript код со функција FindProxyForURL која ја дефинира логиката за избор на прокси во зависност од домаќинот и бараната URL-адреса. Суштината на ранливоста е дека за извршување на овој JavaScript код во pac-resolver, се користеше VM API обезбеден во Node.js, што ви овозможува да извршите JavaScript код во различен контекст на моторот V8.

Наведеното API е експлицитно означено во документацијата дека не е наменето за извршување на недоверлив код, бидејќи не обезбедува целосна изолација на кодот што се извршува и овозможува пристап до оригиналниот контекст. Проблемот е решен во pac-resolver 5.0.0, кој е преместен да ја користи библиотеката vm2, која обезбедува повисоко ниво на изолација погодно за извршување на недоверлив код.

Кога користи ранлива верзија на pac-resolver, напаѓачот преку пренос на специјално дизајнирана PAC-датотека може да постигне извршување на неговиот JavaScript код во контекст на кодот на проектот користејќи Node.js, доколку овој проект користи библиотеки кои имаат зависности со pac-resolver. Најпопуларната од проблематичните библиотеки е Proxy-Agent, наведена како зависност од 360 проекти, вклучувајќи urllib, aws-cdk, mailgun.js и firebase-tools, со вкупно повеќе од три милиони преземања неделно.

Ако апликацијата која има зависност од Pac-resolver вчита PAC-датотека обезбедена од систем кој го поддржува протоколот за автоматска конфигурација на прокси WPAD, тогаш напаѓачите со пристап до локалната мрежа можат да ја користат дистрибуцијата на поставките за прокси преку DHCP за да вметнат малициозни PAC-датотеки.

Извор: opennet.ru