Уязвимость в NPM, приводящая к перезаписи файлов в системе

Все новости из мира ОС Linux, BSD, Unix
Ответить
Аватара пользователя
[Ботя]
Тролль
Тролль
Сообщения: 89723
Зарегистрирован: 07 мар 2019, 15:48
ОС: MSDOS

Уязвимость в NPM, приводящая к перезаписи файлов в системе

Сообщение [Ботя] » 09 сен 2021, 13:30

Компания GitHub раскрыла подробности о семи уязвимостях в пакетах tar и @npmcli/arborist, предоставляющих функции для работы с tar-архивами и расчета дерева зависимостей в Node.js. Уязвимости позволяют при распаковке специально оформленного архива перезаписать файлы за пределами корневого каталога, в который осуществляется распаковка, насколько это позволяют текущие права доступа. Проблемы дают возможность организовать выполнение произвольного кода в системе, например, через добавление команд в ~/.bashrc или ~/.profile при выполнении операции непривилегированным пользователем или через замену системных файлов при запуске с правами root.

Подробнее...

Ответить

Вернуться в «Новости *nix»