🥇Vulnerabilidade no NPM que permite modificar arquivos arbitrários durante a instalação de pacotes

Na atualização do gerenciador de pacotes NPM 6.13.4, incluído na distribuição do Node.js e usado para a distribuição de módulos em JavaScript, foram corrigidas três vulnerabilidades (CVE-2019-16775, CVE-2019-16776 e CVE-2019-16777), que permitem modificar ou sobrescrever arquivos de sistema arbitrários durante a instalação de um pacote preparado por um invasor. Como uma medida de proteção, pode-se instalar com a opção "--ignore-scripts", que proíbe a execução de scripts embutidos nos pacotes. Os desenvolvedores do NPM analisaram os pacotes disponíveis no repositório e não encontraram indícios do uso das vulnerabilidades identificadas para realizar ataques.

CVE-2019-16777 se manifesta nas versões anteriores a 6.13.4 e permite sobrescrever arquivos executáveis do sistema durante a instalação global de um pacote. Somente arquivos no diretório de destino, onde os arquivos executáveis são instalados (geralmente /usr/local/bin), podem ser substituídos.

CVE-2019-16775 e CVE-2019-16776 aparecem em versões anteriores a 6.13.3 e permitem gravar arquivos arbitrários através da criação de links simbólicos para arquivos fora do diretório de módulos (node_modules) ou por meio de manipulações com o campo bin no package.json (no campo bin, era permitido o uso de caminhos com "../").

Fonte: opennet.ru