Thư viện phổ biến Node.js tồn tại lỗi thực thi mã từ xa

[WhiteHat News #ID:2112]

Tuần trước, GitHub Security Lab đã phát hiện ra một lỗ hổng thực thi các lệnh shell trong một số kho lưu trữ của node.js, bao gồm tiện ích changelog phiên bản tiêu chuẩn được sử dụng bởi hơn 20.000 dự án.

Theo một proof-of-concept được công bố, trong các trường hợp mà thông số releaseCommitMessageFormat của phiên bản tiêu chuẩn được cung cấp với đầu vào do người dùng kiểm soát, kẻ xấu có thể điều khiển luồng chương trình để chạy các lệnh shell tùy ý trên máy chủ ứng dụng.

GitHub đánh giá lỗ hổng này ở mức độ nghiêm trọng “vừa phải” do khó có thể tạo ra một mã khai thác hoàn chỉnh cho lỗ hổng bởi vì chỉ một chức năng của thư viện bị ảnh hưởng và mã khai thác hoàn chỉnh yêu cầu người dùng sử dụng chức năng thư viện cụ thể đó với các đầu vào do người dùng kiểm soát.

GitHub đã gửi cảnh báo tới tất cả các dự án nguồn mở phụ thuộc vào phiên bản tiêu chuẩn để cập nhật lên phiên bản vá lỗi (8.0.1).

Lỗi tiêm dòng lệnh

Lỗi được phát hiện khi nhóm đang phát triển truy vấn mới để phát hiện các lỗi tương tự bằng công cụ phân tích an ninh mã CodeQL của GitHub.

“Truy vấn đã mô hình hóa một mẫu mã nguy hiểm có thể dẫn đến lỗ hổng tiêm dòng lệnh”, GitHub Security Lab cho biết.

“Khi nghiên cứu vấn đề này, chúng tôi nhận thấy khoảng 15 vấn đề an ninh khác mà tất cả đều theo cùng một mẫu: API thư viện vô tình cho phép thực thi mã từ xa”.

Sau khi chạy truy vấn trên khoảng 115.000 dự án nguồn mở, GitHub Security Lab đã phát hiện các lỗ hổng tương tự trong các thư viện khác như git-diff-ally, mversion, node-dns-sync...

GitHub đã thông báo cho các dự án để cập nhật mã.

Theo Daily Swig​