दर आठवड्याला 3 दशलक्ष डाउनलोडसह pac-resolver NPM पॅकेजमधील भेद्यता

pac-resolver NPM पॅकेज, ज्यामध्ये दर आठवड्याला 3 दशलक्ष डाउनलोड होतात, त्यात एक भेद्यता (CVE-2021-23406) आहे जी Node.js प्रकल्पांकडून HTTP विनंत्या पाठवताना अनुप्रयोगाच्या संदर्भात त्याच्या JavaScript कोडची अंमलबजावणी करण्यास अनुमती देते. समर्थन प्रॉक्सी सर्व्हर स्वयं-कॉन्फिगरेशन कार्य.

pac-resolver पॅकेज PAC फाइल्स पार्स करते ज्यात स्वयंचलित प्रॉक्सी कॉन्फिगरेशन स्क्रिप्ट समाविष्ट असते. PAC फाइलमध्ये FindProxyForURL फंक्शनसह नियमित JavaScript कोड असतो जो होस्ट आणि विनंती केलेल्या URL वर अवलंबून प्रॉक्सी निवडण्याचे तर्क परिभाषित करतो. भेद्यतेचा सार असा आहे की हा JavaScript कोड pac-resolver मध्ये कार्यान्वित करण्यासाठी, Node.js मध्ये प्रदान केलेला VM API वापरला गेला होता, जो तुम्हाला V8 इंजिनच्या वेगळ्या संदर्भात JavaScript कोड कार्यान्वित करण्यास अनुमती देतो.

निर्दिष्ट API हे अविश्वासू कोड चालवण्याच्या हेतूने नाही म्हणून दस्तऐवजात स्पष्टपणे चिन्हांकित केले आहे, कारण ते चालत असलेल्या कोडचे संपूर्ण विलगीकरण प्रदान करत नाही आणि मूळ संदर्भामध्ये प्रवेश करण्यास अनुमती देते. समस्या pac-resolver 5.0.0 मध्ये संबोधित केली गेली आहे, जी vm2 लायब्ररी वापरण्यासाठी हलवली गेली आहे, जी अविश्वासू कोड चालविण्यासाठी योग्य उच्च पातळीचे अलगाव प्रदान करते.

pac-resolver ची असुरक्षित आवृत्ती वापरताना, विशेषत: डिझाइन केलेल्या PAC फाईलच्या प्रसारणाद्वारे आक्रमणकर्ता Node.js वापरून प्रकल्पाच्या कोडच्या संदर्भात त्याच्या JavaScript कोडची अंमलबजावणी साध्य करू शकतो, जर हा प्रकल्प अवलंबित्व असलेल्या लायब्ररींचा वापर करत असेल. pac-resolver सह. समस्याग्रस्त लायब्ररींपैकी सर्वात लोकप्रिय प्रॉक्सी-एजंट आहे, urllib, aws-cdk, mailgun.js आणि फायरबेस-टूल्ससह 360 प्रकल्पांवर अवलंबित्व म्हणून सूचीबद्ध आहे, दर आठवड्याला एकूण तीन दशलक्षाहून अधिक डाउनलोड होतात.

जर pac-रिझोल्व्हरवर अवलंबित्व असलेल्या अनुप्रयोगाने WPAD प्रॉक्सी स्वयंचलित कॉन्फिगरेशन प्रोटोकॉलला समर्थन देणाऱ्या प्रणालीद्वारे प्रदान केलेली PAC फाइल लोड केली, तर स्थानिक नेटवर्कमध्ये प्रवेश असलेले आक्रमणकर्ते दुर्भावनापूर्ण PAC फाइल्स घालण्यासाठी DHCP द्वारे प्रॉक्सी सेटिंग्जचे वितरण वापरू शकतात.

स्त्रोत: opennet.ru