PT-2022-15141 · Npm · Nconf

Alessio Della Libera · Publicado 2022-04-12 · Atualizado 2022-04-20 · CVE-2022-21803

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do nconf anteriores à 0.11.4

Descrição

A vulnerabilidade afeta o pacote nconf ao utilizar o mecanismo de memória, permitindo o armazenamento de uma representação JSON aninhada da configuração. A função set() está vulnerável à contaminação de protótipos (Prototype Pollution), possibilitando a modificação de propriedades no Object.prototype por meio do fornecimento de uma propriedade maliciosamente criada.

Recomendações

Para versões anteriores à 0.11.4, atualize para a versão 0.11.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da função set() até que um patch esteja disponível. Evite usar propriedades criadas de forma maliciosa que possam explorar a vulnerabilidade de Prototype Pollution na função set() afetada.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2022-21803

GHSA-6XWR-Q98W-RVG7

SNYK-JAVA-ORGWEBJARSNPM-2632450

SNYK-JS-NCONF-2395478

Produtos afetados

Nconf

Referências · 9

• 🔥 https://snyk.io/vuln/SNYK-JS-NCONF-2395478 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-2632450 · Exploit
• https://github.com/indexzero/nconf/pull/397 · Correção
• https://github.com/indexzero/nconf · Nota
• https://github.com/indexzero/nconf/releases/tag/v0.11.4 · Nota
• https://osv.dev/vulnerability/CVE-2022-21803 · Aviso do Fabricante
• https://t.me/cibsecurity/40625 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-21803 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6xwr-q98w-rvg7 · Aviso do Fabricante