CVE-2019-16775
Təsvir
npm CLI-ın 6.13.3 versiyasından əvvəlki versiyaları ixtiyari fayl yazılmasına (Arbitrary File Write) qarşı həssasdır. Paketlərin quraşdırma zamanı bin sahəsi vasitəsilə node_modules qovluğundan kənardakı fayllara simvolik keçidlər (symlinks) yaratması mümkündür. package.json faylının bin sahəsində düzgün qurulmuş giriş, paket nəşr edən şəxsə paket quraşdırılarkən istifadəçinin sistemindəki ixtiyari fayllara yönəlmiş simvolik keçid yaratmağa imkan verir. Bu davranış hələ də quraşdırma skriptləri vasitəsilə mümkündür. Bu zəiflik istifadəçinin --ignore-scripts quraşdırma seçimindən istifadə etməsini yan keçir.
Necə düzəltmək olar
- npmjs npm6.13.3 və ya daha yeni versiya
- npm6.13.3 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/
- access.redhat.com/errata/RHEA-2020:0330
- access.redhat.com/errata/RHSA-2020:0573
- access.redhat.com/errata/RHSA-2020:0579
- access.redhat.com/errata/RHSA-2020:0597
- access.redhat.com/errata/RHSA-2020:0602
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat enterprise_linux | 8.0 | — |
| redhat enterprise_linux_eus | 8.1 | — |
| npmjs npm | v < 6.13.3 | 6.13.3 |
| opensuse leap | 15.1 | — |
| oracle graalvm | 19.3.0.2, 20.3.3, 21.2.2 | — |
| fedoraproject fedora | 31 | — |
| npmnpm | v < 6.13.3 | 6.13.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.