CVE-2021-21368

msgpack5, node.js və brauzer üçün msgpack v5 tətbiqidir. msgpack5-in 3.6.1, 4.5.1 və 5.2.1 versiyalarından əvvəlki versiyalarında "Prototype Poisoning" zəifliyi mövcuddur. msgpack5 "__proto__" açarını ehtiva edən bir xəritəni (map) dekod etdikdə, dekod olunmuş dəyəri __proto__-ya təyin edir. Object.prototype.__proto__, qəbul edicinin prototipi üçün accessor xüsusiyyətidir. Əgər __proto__ açarına uyğun gələn dəyər obyekt və ya null kimi dekod olunarsa, msgpack5 dekod olunmuş obyektin prototipini həmin dəyərə təyin edir. Xidmətə xüsusi hazırlanmış MessagePack məlumatlarını göndərə bilən hücumçu bundan istifadə edərək digər tiplərdə görünən dəyərlər yarada bilər; gözlənilməz prototip xüsusiyyətlərinə və metodlarına malik ola bilər (məsələn, əgər __proto__ dəyəri Massiv (Array) kimi dekod olunarsa, length, rəqəm xüsusiyyətləri və push və s.); və/və ya istifadə zamanı gözlənilməz istisnalar (exception) ata bilər (məsələn, əgər __proto__ dəyəri Map və ya Date kimi dekod olunarsa). Digər tiplər üçün də digər gözlənilməz davranışlar ortaya çıxa bilər. Qlobal prototipə heç bir təsir göstərmir. Bu "prototype poisoning", prototype pollution hücumunun çox məhdud şəkildə tərsinə çevrilmiş formasıdır. Yalnız dekod olunmuş dəyərin prototipi təsirlənir və o, yalnız msgpack5 dəyərlərinə təyin edilə bilər (lakin qurban xüsusi kodeklərdən istifadə edirsə, hər hansı bir şey msgpack5 dəyəri ola bilər). Biz bunu tammiqyaslı prototype pollution-a yüksəltməyin yolunu tapmamışıq (istehlakçının kodunda digər xətalar olmadığı təqdirdə). Bu problem msgpack5-in 3.6.1, 4.5.1 və 5.2.1 versiyalarında düzəldilmişdir. Nümunə və daha ətraflı məlumat üçün istinad verilmiş GitHub Security Advisory-yə baxın.