GitHub resolve vulnerabilidades graves em pacotes Node.js.

O GitHub resolve várias vulnerabilidades graves encontradas em pacotes Node.js tar e também @npmcli/arborist. O pior dos problemas permitia sobrescrever arquivos e execução arbitrária de códigos. Na quarta-feira, o GitHub disse que a empresa recebeu relatórios de Robert Chen e Philip Papurt, entre 21 de julho e 13 de agosto, de falhas de segurança afetando os pacotes por meio de um dos programas de recompensa de bugs do GitHub, que dá aos pesquisadores crédito e recompensas financeiras por divulgar vulnerabilidades de forma responsável ao fornecedor. 

O diretor de segurança do GitHub, Mike Hanley, diz que esses relatórios levaram o GitHub a conduzir sua própria análise do tar e do @npmcli/arborist, levando à descoberta de problemas de segurança adicionais. 

O pacote tar Node.js é usado para imitar o sistema de arquivo tar no Unix, enquanto @npmcli/arborist foi desenvolvido para gerenciar árvores node_modules. Tar é uma dependência principal do npm para extração de pacote npm e @npmcli/arborist é uma dependência principal para o npm CLI.

O Node-tar foi responsável por 22.390.735 downloads semanais, no momento da escrita, enquanto @npmcli/arborist foi baixado 405.551 vezes na semana passada. No total, sete vulnerabilidades foram verificadas por meio dos relatórios de recompensa de bug e da equipe de segurança nas descobertas do GitHub:

Tar:

• CVE-2021-32803, alto impacto: Criação/substituição arbitrária de arquivos por meio de proteção de link simbólico insuficiente. Um arquivo tar malicioso pode criar / sobrescrever arquivos arbitrários com os privilégios do processo usando tar.
• CVE-2021-32804, alto impacto: Criação/substituição arbitrária de arquivos devido à sanitização insuficiente do caminho absoluto. Pacotes npm maliciosos podem criar/sobrescrever arquivos com os privilégios do usuário que está executando a instalação, levando à execução do código.
• CVE-2021-37701, alto impacto: um problema de separador de caminho em nomes de arquivo pode levar a arquivos tar maliciosos criando/sobrescrevendo arquivos arbitrários com os níveis de privilégio do processo que executa o tar.
• CVE-2021-37712, alto impacto: conversões Unicode e semântica de nome de arquivo do Windows 8.3 podem causar envenenamento do cache de diretório e desvios de verificação de link simbólico, levando à criação e substituição arbitrárias de arquivos.
• CVE-2021-37713, alto impacto: Criação/substituição arbitrária de arquivos no Windows por meio de sanitização de caminho relativo insuficiente. Pacotes npm maliciosos podem criar e sobrescrever arquivos fora de sua raiz de instalação, com privilégios de usuário. 

@npmcli/arborist:

• CVE-2021-39134, impacto médio: Um problema em como os links simbólicos na árvore node_modules são tratados. A exploração pode resultar em pacotes maliciosos sobrescrevendo arquivos fora de uma raiz de instalação com privilégios de usuário.
• CVE-2021-39135, impacto médio: Esta vulnerabilidade também afeta o tratamento de links simbólicos, especificamente quando pacotes não confiáveis ??são instalados em sistemas de arquivos que não diferenciam maiúsculas de minúsculas.