🥇Kwetsbaarheid in NPM waarmee willekeurige bestanden kunnen worden gewijzigd bij het installeren van een pakket

In de update van de NPM package manager 6.13.4, die wordt meegeleverd met Node.js en wordt gebruikt voor de verspreiding van modules in JavaScript, opgelost zijn drie kwetsbaarheden (CVE-2019-16775, CVE-2019-16776 en CVE-2019-16777), waarmee willekeurige systeem bestanden kunnen worden gemodificeerd of overschreven tijdens de installatie van een door een aanvaller voorbereid pakket. Een optie om de beveiliging te omzeilen kan zijn om te installeren met de optie "—ignore-scripts", die de uitvoering van ingebouwde package handlers verbiedt. De ontwikkelaars van NPM hebben de beschikbare pakketten in de repository geanalyseerd en hebben geen sporen gevonden van het gebruik van de geconstateerde problemen voor het uitvoeren van aanvallen.

CVE-2019-16777 verschijnt in versies tot 6.13.4, die het mogelijk maakt om systeeme uitvoerbare bestanden te overschrijven tijdens de globale installatie van een pakket. Alleen bestanden in de doelmap, waar de uitvoerbare bestanden worden geïnstalleerd (meestal /usr/local/bin), kunnen worden vervangen.

CVE-2019-16775 en CVE-2019-16776 doen zich voor in versies tot 6.13.3 en maken het mogelijk om een willekeurig bestand te schrijven door een symbolische link te maken naar bestanden buiten de modulemap (node_modules) of door manipulaties met het bin-veld in package.json (in het bin-veld was het gebruik van paden met "../" toegestaan).

Bron: opennet.ru

Kwetsbaarheid in NPM die het mogelijk maakt om willekeurige bestanden te wijzigen tijdens de installatie van een pakket