{"id":101233,"date":"2021-09-09T10:22:51","date_gmt":"2021-09-09T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme"},"modified":"2021-09-09T10:22:51","modified_gmt":"2021-09-09T08:22:51","slug":"uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-npm-privodyashhaya-k-perezapisi-fajlov-v-sisteme","title":{"rendered":"Vulnerabilidade no NPM que leva \u00e0 sobrescrita de arquivos no sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A empresa GitHub divulgou detalhes sobre sete vulnerabilidades nos pacotes tar e @npmcli\/arborist, que fornecem fun\u00e7\u00f5es para trabalhar com arquivos tar e calcular a \u00e1rvore de depend\u00eancias no Node.js. As vulnerabilidades permitem que, ao descompactar um arquivo especialmente formatado, arquivos fora do diret\u00f3rio raiz onde a descompacta\u00e7\u00e3o ocorre sejam sobrescritos, conforme permitido pelas permiss\u00f5es de acesso atuais. Os problemas possibilitam a execu\u00e7\u00e3o de c\u00f3digo arbitr\u00e1rio no sistema, por exemplo, atrav\u00e9s da adi\u00e7\u00e3o de comandos em ~\/ .bashrc ou ~\/ .profile durante a opera\u00e7\u00e3o por um usu\u00e1rio n\u00e3o privilegiado ou pela substitui\u00e7\u00e3o de arquivos do sistema ao ser executado com privil\u00e9gios de root. <\/p>\n
O perigo das vulnerabilidades \u00e9 agravado pela utiliza\u00e7\u00e3o de c\u00f3digo problem\u00e1tico no gerenciador de pacotes npm durante opera\u00e7\u00f5es com pacotes npm, permitindo que um ataque seja realizado contra os usu\u00e1rios ao disponibilizar um pacote npm cuidadosamente formatado em um reposit\u00f3rio, cujo processamento executar\u00e1 o c\u00f3digo do atacante no sistema. O ataque \u00e9 poss\u00edvel mesmo ao instalar pacotes no modo «—ignore-scripts», que desliga a execu\u00e7\u00e3o de scripts embutidos. Um total de quatro vulnerabilidades afeta o npm (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 e CVE-2021-39135) de um total de sete. Os dois primeiros problemas est\u00e3o relacionados ao pacote tar, enquanto os outros dois afetam o pacote @npmcli\/arborist. <\/p>\n
A vulnerabilidade mais cr\u00edtica, CVE-2021-32804, decorre do fato de que, ao limpar os caminhos absolutos especificados no arquivo tar, os caracteres repetidos «\\\/» s\u00e3o processados incorretamente \u2014 apenas o primeiro caractere \u00e9 removido, enquanto os demais permanecem. Por exemplo, o caminho «\\\/home\\\/user\\\/.bashrc» ser\u00e1 convertido em «home\\\/user\\\/.bashrc», e o caminho «\\\/\\\/home\\\/user\\\/.bashrc» ser\u00e1 convertido em «\\\/home\\\/user\\\/.bashrc». A segunda vulnerabilidade, CVE-2021-37713, manifesta-se apenas na plataforma Windows e est\u00e1 associada \u00e0 limpeza incorreta de caminhos relativos que incluem um caractere de unidade n\u00e3o separado («C:some\\path») e uma sequ\u00eancia para retornar ao diret\u00f3rio anterior («C:..\\\/foo»). <\/p>\n
As vulnerabilidades CVE-2021-39134 e CVE-2021-39135 s\u00e3o espec\u00edficas do m\u00f3dulo @npmcli\/arborist. O primeiro problema ocorre apenas em sistemas que n\u00e3o diferenciam mai\u00fasculas de min\u00fasculas no sistema de arquivos (macOS e Windows) e permite a grava\u00e7\u00e3o de arquivos em partes arbitr\u00e1rias do sistema de arquivos ao incluir como depend\u00eancias dois m\u00f3dulos ‘»foo»: «file:\\\/some\\\/path»‘ e ‘FOO: «file:foo.tgz»‘, cuja execu\u00e7\u00e3o levar\u00e1 \u00e0 remo\u00e7\u00e3o do conte\u00fado do diret\u00f3rio \\\/some\\\/path e \u00e0 grava\u00e7\u00e3o do conte\u00fado de foo.tgz nele. O segundo problema permite a sobrescri\u00e7\u00e3o de arquivos por meio da manipula\u00e7\u00e3o de links simb\u00f3licos. <\/p>\n
As vulnerabilidades foram corrigidas nas vers\u00f5es do Node.js 12.22.6 e 14.17.6, npm CLI 6.14.15 e 7.21.0, bem como em vers\u00f5es espec\u00edficas do pacote tar 4.4.19, 5.0.11 e 6.1.10. Ap\u00f3s receber informa\u00e7\u00f5es sobre o problema por meio da iniciativa «bug bounty», o GitHub pagou $14500 aos pesquisadores e escaneou o conte\u00fado do reposit\u00f3rio, onde nenhuma tentativa de explora\u00e7\u00e3o das vulnerabilidades foi detectada. Para se proteger contra os problemas mencionados, o GitHub tamb\u00e9m implementou uma proibi\u00e7\u00e3o \u00e0 publica\u00e7\u00e3o de pacotes npm em reposit\u00f3rios que incluam links simb\u00f3licos, links r\u00edgidos e caminhos absolutos. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"