प्रति हप्ता 3 मिलियन डाउनलोडहरूको साथ pac-resolver NPM प्याकेजमा जोखिम

pac-resolver NPM प्याकेज, जसमा प्रति हप्ता 3 मिलियन भन्दा बढी डाउनलोडहरू छन्, एक जोखिम (CVE-2021-23406) छ जसले यसको JavaScript कोडलाई Node.js परियोजनाहरूबाट HTTP अनुरोधहरू पठाउँदा अनुप्रयोगको सन्दर्भमा कार्यान्वयन गर्न अनुमति दिन्छ। समर्थन प्रोक्सी सर्भर स्वत कन्फिगरेसन प्रकार्य।

pac-resolver प्याकेजले PAC फाइलहरूलाई पार्स गर्छ जसमा स्वचालित प्रोक्सी कन्फिगरेसन लिपि समावेश हुन्छ। PAC फाइलमा FindProxyForURL प्रकार्यको साथ नियमित JavaScript कोड समावेश गर्दछ जसले होस्ट र अनुरोध गरिएको URL को आधारमा प्रोक्सी छनोट गर्ने तर्कलाई परिभाषित गर्दछ। कमजोरीको सार यो हो कि यो JavaScript कोड pac-resolver मा कार्यान्वयन गर्न, Node.js मा प्रदान गरिएको VM API प्रयोग गरिएको थियो, जसले तपाईंलाई V8 इन्जिनको फरक सन्दर्भमा JavaScript कोड कार्यान्वयन गर्न अनुमति दिन्छ।

निर्दिष्ट API लाई कागजातमा स्पष्ट रूपमा अविश्वस्त कोड चलाउनको लागि होइन भनेर चिन्ह लगाइएको छ, किनकि यसले चलिरहेको कोडको पूर्ण अलगाव प्रदान गर्दैन र मूल सन्दर्भमा पहुँच अनुमति दिन्छ। समस्या pac-resolver 5.0.0 मा हल गरिएको छ, जुन vm2 लाइब्रेरी प्रयोग गर्न सारिएको छ, जसले अविश्वसनीय कोड चलाउनको लागि उपयुक्त उच्च स्तरको अलगाव प्रदान गर्दछ।

pac-resolver को कमजोर संस्करण प्रयोग गर्दा, विशेष रूपमा डिजाइन गरिएको PAC फाइलको प्रसारण मार्फत आक्रमणकारीले Node.js प्रयोग गरेर परियोजनाको कोडको सन्दर्भमा आफ्नो JavaScript कोडको कार्यान्वयन हासिल गर्न सक्छ, यदि यो परियोजनाले निर्भरता भएका पुस्तकालयहरू प्रयोग गर्दछ। pac-resolver संग। समस्याग्रस्त पुस्तकालयहरू मध्ये सबैभन्दा लोकप्रिय प्रोक्सी-एजेन्ट हो, urllib, aws-cdk, mailgun.js र firebase-tools सहित 360 परियोजनाहरूमा निर्भरताको रूपमा सूचीबद्ध, प्रति हप्ता XNUMX मिलियन भन्दा बढी डाउनलोडहरू।

यदि pac-resolver मा निर्भरता भएको अनुप्रयोगले WPAD प्रोक्सी स्वचालित कन्फिगरेसन प्रोटोकललाई समर्थन गर्ने प्रणालीद्वारा प्रदान गरिएको PAC फाइल लोड गर्छ भने, स्थानीय सञ्जालमा पहुँच भएका आक्रमणकारीहरूले हानिकारक PAC फाइलहरू घुसाउन DHCP मार्फत प्रोक्सी सेटिङहरूको वितरण प्रयोग गर्न सक्छन्।

स्रोत: opennet.ru