{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Vulnerability w NPM prowadz\u0105ca do nadpisywania plik\u00f3w w systemie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Firma GitHub ujawnila szczeg\u00f3\u0142y dotycz\u0105ce siedmiu luk w pakietach tar i @npmcli\/arborist, kt\u00f3re oferuj\u0105 funkcje do pracy z archiwami tar oraz obliczania drzewa zale\u017cno\u015bci w Node.js. Luki pozwalaj\u0105 na nadpisanie plik\u00f3w poza g\u0142\u00f3wnym katalogiem, do kt\u00f3rego prowadzi rozpakowywanie, w zale\u017cno\u015bci od bie\u017c\u0105cych uprawnie\u0144. Problemy te stwarzaj\u0105 mo\u017cliwo\u015b\u0107 wykonania dowolnego kodu w systemie, na przyk\u0142ad poprzez dodanie polece\u0144 do ~\/ .bashrc lub ~\/ .profile podczas wykonywania operacji przez u\u017cytkownika bez uprawnie\u0144, lub przez zast\u0105pienie plik\u00f3w systemowych, gdy uruchamiane s\u0105 z uprawnieniami root. <\/p>\n
Niebezpiecze\u0144stwo zwi\u0105zane z lukami w zabezpieczeniach pog\u0142\u0119bia si\u0119 przez to, \u017ce problematyczny kod jest wykorzystywany w mened\u017cerze pakiet\u00f3w npm podczas operacji z pakietami npm, co pozwala na przeprowadzenie ataku na u\u017cytkownik\u00f3w poprzez umieszczenie w repozytorium specjalnie przygotowanego pakietu npm, przy przetwarzaniu kt\u00f3rego w systemie zostanie wykonany kod napastnika. Atak jest mo\u017cliwy nawet przy instalacji pakiet\u00f3w w trybie «—ignore-scripts», kt\u00f3ry wy\u0142\u0105cza wykonywanie wbudowanych skrypt\u00f3w. Npm dotyczy czterech luk (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 i CVE-2021-39135) spo\u015br\u00f3d siedmiu. Pierwsze dwie problemy dotycz\u0105 pakietu tar, a pozosta\u0142e dwa pakietu @npmcli\/arborist. <\/p>\n
Najbardziej niebezpieczna luka CVE-2021-32804 wynika z tego, \u017ce podczas oczyszczania wskazanych w archiwum tar absolutnych \u015bcie\u017cek nieprawid\u0142owo przetwarzane s\u0105 powtarzaj\u0105ce si\u0119 symbole «\\\/» \u2014 usuwany jest tylko pierwszy symbol, a pozosta\u0142e pozostaj\u0105. Na przyk\u0142ad \u015bcie\u017cka «\\\/home\\\/user\\\/.bashrc» zostanie przekszta\u0142cona w «home\\\/user\\\/.bashrc», a \u015bcie\u017cka «\\\/\\\/home\\\/user\\\/.bashrc» w «\\\/home\\\/user\\\/.bashrc». Druga luka CVE-2021-37713 ujawnia si\u0119 tylko na platformie Windows i zwi\u0105zana jest z niew\u0142a\u015bciwym oczyszczaniem wzgl\u0119dnych \u015bcie\u017cek, kt\u00f3re zawieraj\u0105 niepodzielony symbol dysku («C:some\\path») i sekwencj\u0119 powrotu do katalogu nadrz\u0119dnego («C:..\\\/foo»). <\/p>\n
Luki CVE-2021-39134 i CVE-2021-39135 s\u0105 specyficzne dla modu\u0142u @npmcli\/arborist. Pierwszy problem ujawnia si\u0119 tylko w systemach, kt\u00f3re nie rozr\u00f3\u017cniaj\u0105 wielko\u015bci liter w FS (macOS i Windows) i pozwala na zapisanie plik\u00f3w w dowolnej cz\u0119\u015bci FS, wskazuj\u0105c w\u015br\u00f3d zale\u017cno\u015bci dwa modu\u0142y ‘»foo»: «file:\\\/some\\\/path»‘ oraz ‘FOO: «file:foo.tgz»‘, kt\u00f3rych przetworzenie skutkuje usuni\u0119ciem zawarto\u015bci katalogu \\\/some\\\/path i zapisaniem w nim zawarto\u015bci foo.tgz. Drugi problem pozwala na nadpisywanie plik\u00f3w poprzez manipulacj\u0119 z symlinkami. <\/p>\n
Luki zosta\u0142y usuni\u0119te w wydaniach Node.js 12.22.6 i 14.17.6, npm CLI 6.14.15 i 7.21.0, a tak\u017ce w pojedynczych wydaniach pakietu tar 4.4.19, 5.0.11 i 6.1.10. Otrzymuj\u0105c informacje o problemie w ramach inicjatywy «bug bounty», GitHub wyp\u0142aci\u0142 badaczom 14500 dolar\u00f3w i przeskanowa\u0142 zawarto\u015b\u0107 repozytorium, w kt\u00f3rym nie ujawniono pr\u00f3b wykorzystania luk w zabezpieczeniach. Aby chroni\u0107 przed wskazanymi problemami, GitHub wprowadzi\u0142 r\u00f3wnie\u017c zakaz publikacji w repozytorium pakiet\u00f3w NPM, kt\u00f3re zawieraj\u0105 symlinki, twarde linki i absolutne \u015bcie\u017cki. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"