Ранливост во NPM што дозволува произволни датотеки да се менуваат за време на инсталацијата на пакетот

Во ажурирањето на менаџерот на пакети NPM 6.13.4, вклучено во дистрибуцијата Node.js и се користи за дистрибуција на модули на јазикот JavaScript, елиминирани три ранливости (CVE-2019-16775, CVE-2019-16776 и CVE-2019-16777), што овозможува произволни системски датотеки да бидат изменети или препишани при инсталирање на пакет подготвен од напаѓач. Како решение за заштита, можете да го инсталирате со опцијата „-ignore-scripts“, која забранува извршување на вградени пакети за ракувачи. Програмерите на NPM ги анализираа пакетите достапни во складиштето и не најдоа траги од идентификуваните проблеми што се користат за извршување на напади.

CVE-2019-16777 се појавува во изданија пред 6.13.4 и ви овозможува да ги презапишете извршните датотеки на системот за време на глобалната инсталација на пакетот. Може да ги замените датотеките само во целниот директориум каде што се инсталирани извршните датотеки (обично /usr/local/bin).

CVE-2019-16775 и CVE-2019-16776 се појавуваат во изданија пред 6.13.3 и ви дозволуваат да напишете произволна датотека со создавање симболична врска до датотеки надвор од директориумот со модули (node_modules) или со манипулирање со полето bin во package.json (патеките со „/../“ беа дозволено во полето за корпа) .

Извор: opennet.ru