ആഴ്ചയിൽ 3 ദശലക്ഷം ഡൗൺലോഡുകളുള്ള പാക്-റിസോൾവർ NPM പാക്കേജിലെ അപകടസാധ്യത

ആഴ്ചയിൽ 3 ദശലക്ഷത്തിലധികം ഡൗൺലോഡുകളുള്ള Pac-resolver NPM പാക്കേജിന് ഒരു ദുർബലതയുണ്ട് (CVE-2021-23406) Node.js പ്രോജക്റ്റുകളിൽ നിന്ന് HTTP അഭ്യർത്ഥനകൾ അയയ്‌ക്കുമ്പോൾ ആപ്ലിക്കേഷന്റെ പശ്ചാത്തലത്തിൽ അതിന്റെ JavaScript കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ അനുവദിക്കുന്നു പ്രോക്സി സെർവർ ഓട്ടോ-കോൺഫിഗറേഷൻ ഫംഗ്‌ഷൻ പിന്തുണയ്ക്കുന്നു.

ഒരു ഓട്ടോമാറ്റിക് പ്രോക്സി കോൺഫിഗറേഷൻ സ്ക്രിപ്റ്റ് ഉൾപ്പെടുന്ന PAC ഫയലുകൾ പാക്-റിസോൾവർ പാക്കേജ് പാഴ്സ് ചെയ്യുന്നു. PAC ഫയലിൽ ഒരു FindProxyForURL ഫംഗ്‌ഷനോടുകൂടിയ സാധാരണ JavaScript കോഡ് അടങ്ങിയിരിക്കുന്നു, അത് ഹോസ്റ്റിനെയും അഭ്യർത്ഥിച്ച URL-നെയും അടിസ്ഥാനമാക്കി ഒരു പ്രോക്‌സി തിരഞ്ഞെടുക്കുന്നതിനുള്ള ലോജിക് നിർവചിക്കുന്നു. Pac-resolver-ൽ ഈ JavaScript കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ, Node.js-ൽ നൽകിയിട്ടുള്ള VM API ഉപയോഗിച്ചു, V8 എഞ്ചിന്റെ മറ്റൊരു സന്ദർഭത്തിൽ JavaScript കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നതാണ് അപകടസാധ്യതയുടെ സാരം.

നിർദിഷ്ട API, വിശ്വസനീയമല്ലാത്ത കോഡ് പ്രവർത്തിപ്പിക്കുന്നതിന് ഉദ്ദേശിച്ചുള്ളതല്ലെന്ന് ഡോക്യുമെന്റേഷനിൽ വ്യക്തമായി അടയാളപ്പെടുത്തിയിരിക്കുന്നു, കാരണം ഇത് റൺ ചെയ്യുന്ന കോഡിന്റെ പൂർണ്ണമായ ഒറ്റപ്പെടൽ നൽകുന്നില്ല, മാത്രമല്ല യഥാർത്ഥ സന്ദർഭത്തിലേക്ക് ആക്സസ് അനുവദിക്കുകയും ചെയ്യുന്നു. ഈ പ്രശ്നം pac-resolver 5.0.0-ൽ അഭിസംബോധന ചെയ്തിട്ടുണ്ട്, ഇത് vm2 ലൈബ്രറി ഉപയോഗിക്കുന്നതിന് നീക്കി, ഇത് വിശ്വസനീയമല്ലാത്ത കോഡ് പ്രവർത്തിപ്പിക്കുന്നതിന് അനുയോജ്യമായ ഉയർന്ന തലത്തിലുള്ള ഒറ്റപ്പെടൽ നൽകുന്നു.

Pac-resolver-ന്റെ ദുർബലമായ പതിപ്പ് ഉപയോഗിക്കുമ്പോൾ, പ്രത്യേകമായി രൂപകൽപ്പന ചെയ്‌ത PAC ഫയലിന്റെ സംപ്രേക്ഷണം വഴി ഒരു ആക്രമണകാരിക്ക് Node.js ഉപയോഗിച്ച് ഒരു പ്രോജക്‌റ്റിന്റെ കോഡിന്റെ പശ്ചാത്തലത്തിൽ അവന്റെ JavaScript കോഡ് നടപ്പിലാക്കാൻ കഴിയും, ഈ പ്രോജക്‌ട് ഡിപൻഡൻസികളുള്ള ലൈബ്രറികൾ ഉപയോഗിക്കുന്നുവെങ്കിൽ. പാക്-റിസോൾവർ ഉപയോഗിച്ച്. പ്രശ്‌നകരമായ ലൈബ്രറികളിൽ ഏറ്റവും പ്രചാരമുള്ളത് പ്രോക്‌സി-ഏജന്റ് ആണ്, urllib, aws-cdk, mailgun.js, firebase-ടൂളുകൾ എന്നിവയുൾപ്പെടെ 360 പ്രൊജക്‌റ്റുകളുടെ ആശ്രിതത്വമായി ലിസ്റ്റ് ചെയ്‌തിരിക്കുന്നു, മൊത്തം ആഴ്ചയിൽ മൂന്ന് ദശലക്ഷത്തിലധികം ഡൗൺലോഡുകൾ.

WPAD പ്രോക്സി ഓട്ടോമാറ്റിക് കോൺഫിഗറേഷൻ പ്രോട്ടോക്കോൾ പിന്തുണയ്ക്കുന്ന ഒരു സിസ്റ്റം നൽകിയ PAC ഫയൽ PAC-resolver-ൽ ഡിപൻഡൻസികളുള്ള ഒരു ആപ്ലിക്കേഷൻ ലോഡ് ചെയ്യുകയാണെങ്കിൽ, പ്രാദേശിക നെറ്റ്‌വർക്കിലേക്കുള്ള ആക്‌സസ് ഉള്ള ആക്രമണകാരികൾക്ക് ക്ഷുദ്രകരമായ PAC ഫയലുകൾ ചേർക്കുന്നതിന് DHCP വഴിയുള്ള പ്രോക്സി ക്രമീകരണങ്ങളുടെ വിതരണം ഉപയോഗിക്കാനാകും.

അവലംബം: opennet.ru