PT-2021-15497 · Npm · Pac-Resolver

Tim Perry · Publicado 2021-08-24 · Atualizado 2021-09-13 · CVE-2021-23406

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do pac-resolver anteriores à 5.0.0

Descrição

Este problema ocorre devido ao manuseio inseguro de arquivos PAC quando utilizados com entradas não confiáveis, permitindo a potencial execução remota de código. O pacote pac-resolver tem mais de 3 milhões de downloads semanais, e a vulnerabilidade pode ser explorada em aplicações Node.js que suportam configuração automática de proxy.

Recomendações

Para versões anteriores à 5.0.0, a correção para este problema é aplicada na biblioteca node-degenerator, uma dependência escrita pelo mesmo mantenedor. Como solução temporária, considere desativar o uso de entradas não confiáveis com o pacote pac-resolver até que o problema seja resolvido. Restrinja o acesso ao pacote pac-resolver para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2021-23406

GHSA-9J49-MFVP-VMHM

SNYK-JAVA-ORGWEBJARSNPM-1568506

SNYK-JS-PACRESOLVER-1564857

Produtos afetados

Pac-Resolver

Referências · 16

• 🔥 https://snyk.io/vuln/SNYK-JS-PACRESOLVER-1564857 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1568506 · Exploit
• https://github.com/TooTallNate/node-pac-resolver/releases/tag/5.0.0 · Correção
• https://github.com/TooTallNate/node-degenerator/commit/9d25bb67d957bc2e5425fea7bf7a58b3fc64ff9e · Correção
• https://github.com/TooTallNate/node-degenerator/commit/ccc3445354135398b6eb1a04c7d27c13b833f2d5 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-23406 · Nota de Segurança
• https://t.me/tmfeed/120455 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-23406 · Aviso do Fabricante
• https://t.me/cvenotify/19978 · Publicação no Telegram
• https://t.me/cvenotify/19974 · Publicação no Telegram
• https://t.me/cibsecurity/27756 · Publicação no Telegram
• https://t.me/opennews/8976 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-9j49-mfvp-vmhm · Aviso do Fabricante
• https://github.com/TooTallNate · Nota
• https://t.me/thehackernews/1508 · Publicação no Telegram