Tin An Ninh Mạng

Phát hiện lỗ hổng nghiêm trọng trong gói NPM phổ biến

hacker 9
Pac-Resolver, một gói NPM phổ biến cho ngôn ngữ lập trình JavaScript vừa được cập nhật bản vá cho lỗ hổng thực thi mã từ xa nghiêm trọng cao. Lỗ hổng có thể bị lợi dụng để chạy mã độc bên trong các ứng dụng Node.js bất cứ khi nào có truy vấn HTTP.

{

}

code.jpg

Lỗ hổng CVE-2021-23406, điểm CVSS 8,1, ảnh hưởng đến các phiên bản Pac-Resolver trước 5.0.0.
Tệp tự động cấu hình proxy (PAC) là một hàm JavaScript, có nhiệm vụ xác định một truy vấn trình duyệt web nên được định tuyến trực tiếp đến trang đích hay chuyển tiếp đến máy chủ proxy web nhất định.
Lỗ hổng có liên quan đến cách Pac-Proxy-Agent không sandbox tệp PAC một cách chính xác, dẫn đến tình huống tệp PAC không đáng tin có thể bị lạm dụng để vượt qua sandbox và chạy mã tùy ý trên hệ điều hành. Tuy nhiên, điều này đòi hỏi kẻ tấn công phải nằm vùng trên mạng cục bộ, có khả năng thay đổi nội dung của tệp PAC hoặc kết hợp với một lỗ hổng thứ hai để thay đổi cấu hình proxy.
Theo Red Hat, gói NPM tồn tại lỗ hổng đi cùng sản phẩm Quản lý cụm nâng cao dành cho Kubernetes. Tuy nhiên, Red Hat chưa phát hiện phương thức kích hoạt lỗ hổng trong thành phần bị ảnh hưởng. Ngoài ra, thành phần này còn được bảo vệ bởi cơ chế xác thực người dùng nên giảm thiểu được mức ảnh hưởng của lỗ hổng.

Nguồn: The Hacker News

Đăng ký liền tay Nhận Ngay Bài Mới

Subscribe ngay

Cám ơn bạn đã đăng ký !

Lỗi đăng ký !

Add Comment

Click here to post a comment

Đăng ký liền tay
Nhận Ngay Bài Mới

Subscribe ngay

Cám ơn bạn đã đăng ký !

Lỗi đăng ký !