Phát hiện lỗ hổng nghiêm trọng trong gói NPM phổ biến

[WhiteHat News #ID:0911]

Pac-Resolver, một gói NPM phổ biến cho ngôn ngữ lập trình JavaScript vừa được cập nhật bản vá cho lỗ hổng thực thi mã từ xa nghiêm trọng cao. Lỗ hổng có thể bị lợi dụng để chạy mã độc bên trong các ứng dụng Node.js bất cứ khi nào có truy vấn HTTP.

Lỗ hổng CVE-2021-23406, điểm CVSS 8,1, ảnh hưởng đến các phiên bản Pac-Resolver trước 5.0.0.
Tệp tự động cấu hình proxy (PAC) là một hàm JavaScript, có nhiệm vụ xác định một truy vấn trình duyệt web nên được định tuyến trực tiếp đến trang đích hay chuyển tiếp đến máy chủ proxy web nhất định.
Lỗ hổng có liên quan đến cách Pac-Proxy-Agent không sandbox tệp PAC một cách chính xác, dẫn đến tình huống tệp PAC không đáng tin có thể bị lạm dụng để vượt qua sandbox và chạy mã tùy ý trên hệ điều hành. Tuy nhiên, điều này đòi hỏi kẻ tấn công phải nằm vùng trên mạng cục bộ, có khả năng thay đổi nội dung của tệp PAC hoặc kết hợp với một lỗ hổng thứ hai để thay đổi cấu hình proxy.
Theo Red Hat, gói NPM tồn tại lỗ hổng đi cùng sản phẩm Quản lý cụm nâng cao dành cho Kubernetes. Tuy nhiên, Red Hat chưa phát hiện phương thức kích hoạt lỗ hổng trong thành phần bị ảnh hưởng. Ngoài ra, thành phần này còn được bảo vệ bởi cơ chế xác thực người dùng nên giảm thiểu được mức ảnh hưởng của lỗ hổng.

Nguồn: The Hacker News​