🥇Sårbarhet i NPM som tillåter ändring av godtyckliga filer vid installation av paket

I uppdateringen av paketförvaltaren NPM 6.13.4, som ingår i leveransen av Node.js och används för distribution av moduler på JavaScript, lösta tre sårbarheter (CVE-2019-16775, CVE-2019-16776 och CVE-2019-16777), vilket möjliggör modifiering eller överskrivning av godtyckliga systemfiler vid installation av ett paket som förberetts av en illvillig aktör. Ett kringgående av skyddet kan vara installation med alternativet "--ignore-scripts", som förhindrar körning av inbyggda paketbehandlare. NPM-utvecklarna har analyserat de paket som finns i förrådet och har inte funnit några spår av utnyttjande av de identifierade problemen för att utföra attacker.

CVE-2019-16777 i LibreSSL. i versioner före 6.13.4 och tillåter överskrivning av systemexekverbara filer under den globala installationen av paketet. Endast filer i den målmapparna där de exekverbara filerna installeras kan bli manipulerade (vanligtvis /usr/local/bin).

CVE-2019-16775 och CVE-2019-16776 framträder i versioner före 6.13.3 och möjliggör skrivning av godtyckliga filer genom att skapa symboliska länkar till filer utanför mappen med moduler (node_modules) eller genom manipulering av fältet bin i package.json (i bin-fältet tilläts användning av sökvägar med "../").

Källa: opennet.ru

En sårbarhet i NPM som tillåter ändring av godtyckliga filer vid installation av ett paket