Mldangelo

**Nome do Software Vulnerável e Versões Afetadas** Versões do pnpm anteriores a 10.28.2 **Descrição** O pnpm, um gerenciador de pacotes, é afetado por um problema onde a instalação de uma dependência `file:` ou `git:` permite que ele siga links simbólicos e leia o conteúdo do alvo sem restringi-los à raiz do pacote. Um pacote malicioso contendo um link simbólico para um caminho absoluto, como `/etc/passwd` ou `~/.ssh/id rsa`, pode fazer com que o pnpm copie o conteúdo desse arquivo para `node modules`, potencialmente levando ao vazamento de dados locais. O problema impacta especificamente desenvolvedores que instalam dependências locais/de arquivo e pipelines de CI/CD que instalam dependências git. Isso pode resultar em roubo de credenciais através de links simbólicos apontando para arquivos como `~/.aws/credentials`, `~/.npmrc` e `~/.ssh/id rsa`. O código em `store/cafs/src/addFilesFromDir.ts` usa `fs.statSync()` e `readFileSync()`, que por padrão seguem links simbólicos, sem verificar se o caminho resolvido permanece dentro do diretório do pacote. As funções vulneráveis são `fs.statSync()` e `readFileSync()`. **Recomendações** Versões anteriores a 10.28.2 devem ser atualizadas para a versão 10.28.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do pnpm anteriores à 10.28.2 **Descrição** O pnpm, um gerenciador de pacotes, está suscetível a um problema de permissão de arquivo ao processar o campo `directories.bin` dentro de um pacote. Um pacote npm malicioso pode manipular este campo, especificamente usando caminhos como `"directories": {"bin": "../../../../tmp"}` para contornar as restrições do diretório do pacote. Isso permite que o pnpm execute `chmod 755` em arquivos localizados em diretórios arbitrários. O problema é limitado a sistemas Unix/Linux/macOS, pois o Windows não é afetado devido à funcionalidade `fixBin` ser condicionada por `EXECUTABLE SHEBANG SUPPORTED`. O código vulnerável reside em `pkg-manager/package-bins/src/index.ts` linhas 15-21, onde `path.join()` é usado sem validar se o caminho resultante permanece dentro da raiz do pacote. O campo `bin` é protegido por `isSubdir()`, mas `directories.bin` carece desta verificação. Uma prova de conceito demonstra como um pacote malicioso pode alterar as permissões de um arquivo sensível, mudando-as de 600 para 755, tornando-o legível para todos. Isso poderia levar a ataques à cadeia de suprimentos via pacotes npm. **Recomendações** Atualize para a versão 10.28.2 ou posterior do pnpm.

**Nome do Software Vulnerável e Versões Afetadas** Versões do pnpm anteriores a 10.28.1 **Descrição** O pnpm, um gerenciador de pacotes, apresenta uma falha em seu coletor de binários que permite que pacotes maliciosos escrevam arquivos fora do diretório de extração designado. Este problema surge de dois vetores de ataque: entradas ZIP maliciosas que utilizam `../` ou caminhos absolutos para burlar a raiz de extração por meio da função `extractAllTo` do AdmZip, e a falta de validação ao concatenar o campo `BinaryResolution.prefix` ao caminho de extração, permitindo prefixos manipulados como `../../evil` para redirecionar arquivos. A vulnerabilidade afeta usuários que instalam pacotes com ativos binários, aqueles que configuram localizações personalizadas de binários do Node.js e pipelines CI/CD que instalam automaticamente dependências binárias. A exploração pode resultar na sobrescrita de arquivos de configuração, scripts e outros dados sensíveis, potencialmente levando à Execução Remota de Código (RCE). **Recomendações** Atualize o pnpm para a versão 10.28.1 ou superior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do pnpm anteriores à 10.28.1 **Descrição** Existe uma falha de path traversal no processo de extração de tarball do pnpm em sistemas Windows. A vulnerabilidade decorre de uma normalização de caminho incompleta, especificamente pela falha em considerar `.` além de `./` ao validar caminhos de arquivos. Isso permite que pacotes maliciosos gravem arquivos fora do diretório pretendido do pacote, aproveitando barras invertidas como separadores de diretório, que são reconhecidos pelo Windows. Uma prova de conceito demonstra a capacidade de sobrescrever arquivos como `.npmrc` e configurações de build. Este problema impacta especificamente usuários do pnpm no Windows e pipelines de CI/CD no Windows, incluindo runners do GitHub Actions para Windows e Azure DevOps. A vulnerabilidade está localizada na lógica de normalização de caminho dentro de `store/cafs/src/parseTarball.ts` e no comportamento dependente de plataforma em `fs/indexed-pkg-importer/src/importIndexedDir.ts`. **Recomendações** As versões anteriores à 10.28.1 devem ser atualizadas para a versão 10.28.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do pnpm anteriores a 10.28.1 **Descrição** O pnpm é suscetível a uma vulnerabilidade de travessia de diretório em seu mecanismo de vinculação de binários. Pacotes npm maliciosos podem explorar isso para criar shims executáveis ou links simbólicos fora do diretório `node modules/.bin`. A vulnerabilidade surge porque nomes de binários que começam com `@` contornam a validação, e sequências de travessia de diretório como `../../` não são totalmente removidas durante a normalização. Isso permite que atacantes potencialmente sobrescrevam arquivos de configuração, scripts ou outros arquivos sensíveis. O problema afeta todos os usuários do pnpm que instalam pacotes npm, bem como pipelines CI/CD que utilizam o pnpm. A vulnerabilidade está presente na lógica de validação e normalização de nomes de binários nos arquivos `pkg-manager/package-bins/src/index.ts` e `pkg-manager/link-bins/src/index.ts`. Especificamente, o filtro permite que qualquer nome de binário iniciado com `@` passe sem validação. A função `normalizeBinName` não remove completamente as sequências de travessia de diretório. O nome normalizado é então usado diretamente em `path.join()` sem validação adicional. Uma prova de conceito (PoC) demonstra a criação de um pacote malicioso com uma entrada de binário como `@scope/../../.npmrc`, que, ao ser instalado, resulta na criação do arquivo `.npmrc` na raiz do projeto, fora do diretório esperado `node modules/.bin`. **Recomendações** Atualize o pnpm para a versão 10.28.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Fickling anteriores à 0.1.7 **Descrição** O Fickling é um descompilador de pickle Python e analisador estático. Antes da versão 0.1.7, o método `unsafe imports()` no analisador estático do Fickling não identifica vários módulos Python de alto risco que poderiam ser usados para execução arbitrária de código. Isso permite que pickles maliciosos que importam esses módulos contornem as verificações de segurança do Fickling. **Recomendações** Atualize o Fickling para a versão 0.1.7 ou posterior.