NPM मधील भेद्यता जी संकुल स्थापनेदरम्यान अनियंत्रित फाइल्समध्ये बदल करण्यास अनुमती देते

NPM 6.13.4 पॅकेज मॅनेजरच्या अपडेटमध्ये, Node.js वितरणामध्ये समाविष्ट आहे आणि JavaScript भाषेत मॉड्यूल्स वितरीत करण्यासाठी वापरला जातो, काढून टाकले तीन असुरक्षा (सीव्हीई- 2019-16775, सीव्हीई- 2019-16776 и सीव्हीई- 2019-16777), जे आक्रमणकर्त्याद्वारे तयार केलेले पॅकेज स्थापित करताना अनियंत्रित सिस्टम फायली सुधारित किंवा अधिलिखित करण्यास अनुमती देते. संरक्षणासाठी उपाय म्हणून, तुम्ही ते “-ignore-scripts” पर्यायासह स्थापित करू शकता, जे अंगभूत हँडलर पॅकेजेसच्या अंमलबजावणीला प्रतिबंधित करते. NPM विकसकांनी रेपॉजिटरीमध्ये उपलब्ध पॅकेजचे विश्लेषण केले आणि हल्ले करण्यासाठी वापरल्या जाणार्‍या ओळखल्या जाणार्‍या समस्यांचे कोणतेही चिन्ह आढळले नाही.

सीव्हीई- 2019-16777 दिसते 6.13.4 पूर्वीच्या रिलीझमध्ये आणि तुम्हाला ग्लोबल पॅकेज इंस्टॉलेशन दरम्यान सिस्टम एक्झिक्यूटेबल फाइल्स ओव्हरराइट करण्यास परवानगी देते. तुम्ही फक्त टार्गेट डिरेक्ट्रीमध्ये फाइल्स बदलू शकता जिथे एक्जीक्यूटेबल फाइल्स इंस्टॉल केल्या जातात (सामान्यत: /usr/local/bin).

सीव्हीई- 2019-16775 и सीव्हीई- 2019-16776 6.13.3 पूर्वीच्या रिलीझमध्ये दिसतात आणि डिरेक्टरीबाहेरच्या फायलींसाठी मॉड्यूल्स (node_modules) सह प्रतीकात्मक लिंक तयार करून किंवा package.json मधील बिन फील्डमध्ये फेरफार करून तुम्हाला अनियंत्रित फाइल लिहिण्याची परवानगी देते (“/../” असलेले पथ बिन फील्डमध्ये परवानगी आहे).

स्त्रोत: opennet.ru