pac-resolver NPM پیکیج، جس میں ہر ہفتے 3 ملین سے زیادہ ڈاؤن لوڈز ہوتے ہیں، ایک کمزوری (CVE-2021-23406) ہے جو Node.js پروجیکٹس سے HTTP درخواستیں بھیجتے وقت اس کے JavaScript کوڈ کو ایپلیکیشن کے تناظر میں عمل میں لانے کی اجازت دیتا ہے۔ سپورٹ پراکسی سرور آٹو کنفیگریشن فنکشن۔
pac-resolver پیکیج PAC فائلوں کو پارس کرتا ہے جس میں ایک خودکار پراکسی کنفیگریشن اسکرپٹ شامل ہوتا ہے۔ PAC فائل میں FindProxyForURL فنکشن کے ساتھ باقاعدہ JavaScript کوڈ ہوتا ہے جو میزبان اور درخواست کردہ URL کی بنیاد پر پراکسی کو منتخب کرنے کی منطق کی وضاحت کرتا ہے۔ کمزوری کا خلاصہ یہ ہے کہ pac-resolver میں اس JavaScript کوڈ کو انجام دینے کے لیے Node.js میں فراہم کردہ VM API استعمال کیا گیا تھا، جو آپ کو V8 انجن کے مختلف تناظر میں JavaScript کوڈ پر عمل کرنے کی اجازت دیتا ہے۔
مخصوص API کو دستاویزات میں واضح طور پر نشان زد کیا گیا ہے جیسا کہ ناقابل اعتماد کوڈ کو چلانے کے لیے نہیں ہے، کیونکہ یہ چلائے جانے والے کوڈ کی مکمل تنہائی فراہم نہیں کرتا اور اصل سیاق و سباق تک رسائی کی اجازت دیتا ہے۔ اس مسئلے کو pac-resolver 5.0.0 میں حل کیا گیا ہے، جسے vm2 لائبریری کو استعمال کرنے کے لیے منتقل کیا گیا ہے، جو ناقابل اعتماد کوڈ کو چلانے کے لیے موزوں تنہائی کی اعلیٰ سطح فراہم کرتا ہے۔
pac-resolver کے کمزور ورژن کا استعمال کرتے وقت، حملہ آور خصوصی طور پر ڈیزائن کردہ PAC فائل کی ترسیل کے ذریعے Node.js کا استعمال کرتے ہوئے کسی پروجیکٹ کے کوڈ کے تناظر میں اپنے JavaScript کوڈ پر عمل درآمد کر سکتا ہے، اگر یہ پروجیکٹ ایسی لائبریریوں کا استعمال کرتا ہے جن میں انحصار ہوتا ہے۔ پی اے سی ریزولور کے ساتھ۔ مسائل زدہ لائبریریوں میں سب سے زیادہ مقبول Proxy-Agent ہے، جو 360 پروجیکٹس پر انحصار کے طور پر درج ہے، بشمول urllib، aws-cdk، mailgun.js اور firebase-tools، جو کہ فی ہفتہ تین ملین سے زیادہ ڈاؤن لوڈز ہوتے ہیں۔
اگر ایک ایپلیکیشن جس کا pac-resolver پر انحصار ہوتا ہے ایک PAC فائل لوڈ کرتا ہے جو کہ WPAD پراکسی آٹومیٹک کنفیگریشن پروٹوکول کو سپورٹ کرتا ہے، تو مقامی نیٹ ورک تک رسائی والے حملہ آور نقصان دہ PAC فائلوں کو داخل کرنے کے لیے DHCP کے ذریعے پراکسی سیٹنگز کی تقسیم کا استعمال کر سکتے ہیں۔
ماخذ: opennet.ru