{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Kwetsbaarheid in NPM, waardoor bestanden in het systeem kunnen worden overschreven.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub heeft details vrijgegeven over zeven kwetsbaarheden in de tar-pakketten en @npmcli\/arborist, die functies bieden voor het werken met tar-archieven en het berekenen van afhankelijkheidsbomen in Node.js. De kwetsbaarheden maken het mogelijk om bij het uitpakken van een speciaal ontworpen archief bestanden buiten de hoofdmap waarin wordt uitgepakt, te overschrijven, afhankelijk van de huidige toegangsrechten. Deze problemen bieden de mogelijkheid om willekeurige code op het systeem uit te voeren, bijvoorbeeld door commando's toe te voegen aan ~\/ .bashrc of ~\/ .profile bij het uitvoeren van de operatie door een niet-geprivilegieerde gebruiker, of door systeem bestanden te vervangen bij uitvoering met root-rechten. <\/p>\n
De gevaren van kwetsbaarheden worden verergerd doordat problematische code wordt gebruikt in de npm package manager tijdens bewerkingen met npm-pakketten. Dit stelt aanvallers in staat om een aanval op gebruikers te organiseren door een speciaal ontworpen npm-pakket in de repository te plaatsen. Bij de verwerking van dit pakket wordt de code van de aanvaller op het systeem uitgevoerd. Een aanval is zelfs mogelijk bij het installeren van pakketten in de mode \u2018--ignore-scripts\u2019, die de uitvoering van ingebouwde scripts uitschakelt. In totaal zijn er vier kwetsbaarheden in npm (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 en CVE-2021-39135) die van de zeven worden aangetast. De eerste twee problemen zijn gerelateerd aan het tar-pakket, terwijl de overige twee betrekking hebben op het @npmcli\/arborist-pakket. <\/p>\n
De meest ernstige kwetsbaarheid, CVE-2021-32804, is ontstaan door een onjuiste verwerking van herhalende karakters \u2018\/\u2019 tijdens de schoonmaak van de absolute paden opgegeven in de tar-archieven \u2014 alleen het eerste teken wordt verwijderd, terwijl de overige blijven staan. Bijvoorbeeld, het pad \u2018\/home\/user\/.bashrc\u2019 wordt omgezet naar \u2018home\/user\/.bashrc\u2019, terwijl het pad \u2018\/\/home\/user\/.bashrc\u2019 wordt omgezet naar \u2018\/home\/user\/.bashrc\u2019. De tweede kwetsbaarheid, CVE-2021-37713, komt alleen voor op het Windows-platform en is gerelateerd aan onjuiste schoonmaak van relatieve paden die een niet-gescheiden stationsymbool (\u2018C:someolder\u2019) en een volgorde om naar de vorige map te gaan (\u2018C:....\/foo\u2019) bevatten. <\/p>\n
De kwetsbaarheden CVE-2021-39134 en CVE-2021-39135 zijn specifiek voor de module @npmcli\/arborist. Het eerste probleem doet zich alleen voor op systemen die geen onderscheid maken tussen hoofd- en kleine letters in het bestandssysteem (zoals macOS en Windows), en stelt gebruikers in staat om bestanden op willekeurige plekken in het bestandssysteem te schrijven door in de afhankelijkheden twee modules op te geven: \u2018foo\u2019: \u2018file:\/some\/path\u2019 en \u2018FOO\u2019: \u2018file:foo.tgz\u2019. De verwerking van deze modules zou leiden tot de verwijdering van de inhoud van de map \/some\/path en de opname van de inhoud van foo.tgz. De tweede kwetsbaarheid maakt het mogelijk om bestanden te overschrijven door manipulatie met symbolische links. <\/p>\n
De kwetsbaarheden zijn opgelost in Node.js versies 12.22.6 en 14.17.6, npm CLI 6.14.15 en 7.21.0, evenals in afzonderlijke versies van het tar-pakket 4.4.19, 5.0.11 en 6.1.10. Na informatie over het probleem te hebben ontvangen via het \u2018bug bounty\u2019-initiatief, heeft GitHub $14500 aan onderzoekers uitbetaald en de inhoud van de repository gescand, waar geen pogingen tot uitbuiting van de kwetsbaarheden zijn vastgesteld. Ter bescherming tegen de genoemde problemen heeft GitHub ook een verbod ingesteld op het publiceren van NPM-pakketten in de repository die symbolische links, harde links en absolute paden bevatten. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"