O le pac-resolver NPM package, lea e sili atu i le 3 miliona downloads i le vaiaso, o loʻo i ai se faʻafitauli (CVE-2021-23406) e mafai ai ona faʻatinoina lana code JavaScript i le tulaga o le talosaga pe a lafoina talosaga HTTP mai Node.js poloketi e lagolago sui sui server galuega fa'a-autometi.
O le pac-resolver package e fa'avasega faila PAC o lo'o i ai se fa'asologa otometi sui fa'asologa. O le faila PAC o loʻo i ai le code JavaScript masani ma se galuega FindProxyForURL e faʻamalamalamaina le faʻaogaina mo le filifilia o se sui e faʻatatau i le talimalo ma le URL o loʻo talosagaina. O le aano o le faʻafitauli o le faʻatinoina o lenei code JavaScript i le pac-resolver, o le VM API na tuʻuina atu i Node.js na faʻaaogaina, lea e mafai ai ona e faʻaogaina le code JavaScript i se isi tulaga o le masini V8.
O le API fa'amaonia o lo'o fa'ailoa manino i totonu o fa'amaumauga e le'i fa'amoemoeina mo le fa'agaioia o code e le fa'atuatuaina, aua e le maua ai le fa'aesea atoatoa o le code o lo'o fa'atinoina ma fa'atagaina le avanoa i le fa'amatalaga muamua. O le mataupu ua foia i le pac-resolver 5.0.0, lea ua siitia e faaaoga le vm2 faletusi, lea e maua ai se tulaga maualuga o le vavae ese talafeagai mo le faʻaogaina o le code untrusted.
A faʻaaogaina se faʻafitauli vaivai o le pac-resolver, o se tagata osofaʻi e ala i le tuʻuina atu o se faila PAC faʻapitoa e mafai ona ausia le faʻatinoina o lana code JavaScript i le tulaga o le code o se poloketi e faʻaaoga ai Node.js, pe a faʻaaogaina e lenei poloketi faletusi e iai faʻalagolago. ma le pac-resolver. O le sili ona taʻutaʻua o faletusi faʻafitauli o le Proxy-Agent, lisiina o se faʻalagolago i 360 poloketi, e aofia ai urllib, aws-cdk, mailgun.js ma firebase-tools, e silia ma le tolu miliona download i le vaiaso.
Afai o se talosaga o loʻo i ai faʻalagolago i luga o le pac-resolver e utaina se faila PAC e tuʻuina atu e se faiga e lagolagoina ai le WPAD proxy automatic configuration protocol, ona mafai lea e le au osofaʻi ona maua le avanoa i le upega tafaʻilagi i le lotoifale ona faʻaogaina le tufatufaina atu o sui sui e ala i le DHCP e faʻapipiʻi ai faila PAC leaga.
puna: opennet.ru