PT-2024-27335 · Deno · Deno

Bartlomieju · Publicado 2024-06-06 · Atualizado 2024-12-17 · CVE-2024-37150

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Deno versão 1.44.0

Descrição

Foi descoberta uma falha no suporte a .npmrc, na qual o Deno enviava as credenciais .npmrc para o escopo da URL do tarball quando o registro fornecia URLs para um tarball em um domínio diferente. Todos os usuários que dependem do .npmrc estão potencialmente afetados por essa falha se o registro privado deles fizer referência a URLs de tarballs em um domínio diferente. Isso inclui o uso do subcomando deno install, a instalação automática para especificadores npm: e o uso de LSP.

Recomendações

Para resolver o problema, atualize para o Deno 1.44.1. Se o seu registro privado alguma vez servir tarballs em um domínio diferente, altere as credenciais do seu registro. Como solução temporária, considere restringir o acesso ao arquivo .npmrc para minimizar o risco de exploração.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-706

CWE-200

Identificadores relacionados

CVE-2024-37150

GHSA-RFC6-H225-3VXV

Produtos afetados

Deno

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37150.json · Exploit
• https://github.com/denoland/deno/security/advisories/GHSA-rfc6-h225-3vxv · Aviso do Fabricante
• https://github.com/denoland/deno/commit/566adb7c0a0c0845e90a6e867a2c0ef5d2ada575 · Correção
• https://github.com/npm/cli/wiki/%22No-auth-for-URI,-but-auth-present-for-scoped-registry%22 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-37150 · Nota de Segurança
• https://t.me/cvenotify/82293 · Publicação no Telegram
• https://t.me/cvenotify/82192 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1798786503901900847 · Publicação no Twitter
• https://twitter.com/linuxpatch/status/1798763953897787493 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1798741395202572562 · Publicação no Twitter
• https://twitter.com/technews4869/status/1822922568468136390 · Publicação no Twitter
• https://twitter.com/liran_tal/status/1869095387404898466 · Publicação no Twitter
• https://t.me/cvenotify/96117 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-37150 · Aviso do Fabricante
• https://twitter.com/liran_tal/status/1824369724177711128 · Publicação no Twitter