Home | | | Short News | | | Long News | | | Long Reads | | | Support | | | Library |
В популярной библиотеке для Node.js-приложений обнаружена возможность внедрения команд. Патч для опасной уязвимости вышел в составе сборки 5.3.1, которую пользователям настоятельно рекомендуется установить.
Проект с открытым исходным кодом System Information Library for Node.JS (npm-пакет systeminformation) представляет собой облегченную библиотеку с полусотней функций. Ее обычно используют для вывода подробной информации об используемом оборудовании, ОС, системных процессах и сервисах.
Этот скромный компонент устанавливается на стороне сервера; он совместим с Linux, macOS, FreeBSD, OpenBSD, NetBSD, SunOS и отчасти с Windows. На счету systeminformation числится свыше 30 млн загрузок; лишь за последний месяц его скачали более 3,5 млн раз.
Согласно бюллетеню npm, уязвимость CVE-2021-21315 классифицируется как инъекция команд. Она возникла из-за неадекватной проверки типа данных при передаче сервисных параметров в функции inetLatency(), inetChecksite(), services() и processLoad(). Степень опасности проблемы оценена в 7,8 балла по CVSS.
Проблема актуальна для всех прежних выпусков библиотеки. Пользователей призывают перейти на сборку 5.3.1 или выше — либо на 4.34.11 и выше при использовании версии 4 пакета. В качестве альтернативной меры защиты разработчикам приложений предлагается ввести санацию данных, вводимых пользователем.
Также следует удостовериться, что подобная очистка проводится до использования ввода для выполнения команд и обращения к базе данных. При вызове названных функций передачу параметров надлежит разрешить только для данных строкового типа, любые матричные структуры должны отбраковываться.
19:45 |
||
17:45 |
||
14:45 |
||
12:45 |
||
11:45 |
||
09:45 |
||
09:45 |
||
19:45 |
||
18:45 |
||
16:45 |
||
15:45 |
||
14:45 |
||
13:45 |
||
10:45 |
||
10:45 |
||
09:45 |
||
19:45 |
||
19:45 |
Home | | | Short News | | | Long News | | | Long Reads | | | Support | | | Library | | | Blogs | | | Links |