CVE-2021-32803
Təsvir
"tar" (həmçinin node-tar kimi tanınan) npm paketi 6.1.2, 5.0.7, 4.4.15 və 3.2.3 versiyalarından əvvəlki versiyalarda simvolik keçirmələrin (symlink) yetərsiz mühafizəsi səbəbindən ixtiyari fayl yaradılması/üstünə yazılma zəifliyinə malikdir. `node-tar` yerləşdiyi ünvan simvolik keçirmə vasitəsilə dəyişdirilə bilən hər hansı bir faylın çıxarılmamasını təmin etməyi hədəfləyir. Bu, qismən çıxarılan kataloqların simvolik keçirmə olmadığının yoxlanılması ilə həyata keçirilir. Əlavə olaraq, verilmiş yolun kataloq olub-olmadığını müəyyən etmək üçün lazımsız `stat` çağırışlarının qarşısını almaq məqsədilə, kataloqlar yaradıldıqda yollar keşlənilir. Həm eyni adlı kataloqu, həm də simvolik keçirməni ehtiva edən tar fayllarının çıxarılması zamanı bu məntiq yetərsiz idi. Əməliyyatların bu ardıcıllığı kataloqun yaradılmasına və `node-tar` kataloq keşinə əlavə edilməsinə səbəb olurdu. Kataloq keşdə mövcud olduqda, həmin kataloq üçün növbəti mkdir çağırışları ötürülür. Lakin `node-tar`-ın simvolik keçirmələri yoxladığı hissə də məhz buradır. İlk öncə kataloqu yaratmaqla və sonra həmin kataloqu simvolik keçirmə ilə əvəz etməklə, `node-tar`-ın kataloqlardakı simvolik keçirmə yoxlamalarını yan keçmək mümkün idi. Bu da etibarsız tar faylına ixtiyari məkana simvolik keçirmə yaratmağa və nəticədə həmin məkana ixtiyari faylların çıxarılmasına şərait yaradaraq, ixtiyari faylların yaradılmasına və üstünə yazılmasına imkan verirdi. Bu problem 3.2.3, 4.4.15, 5.0.7 və 6.1.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- tar_project tar3.2.3, 4.4.15, 5.0.7, 6.1.2 və ya daha yeni versiya
- siemens sinec_infrastructure_network_services1.0.1.1 və ya daha yeni versiya
- tar3.2.3, 4.4.15, 5.0.7, 6.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tar_project tar | v < 3.2.3, 4.0.0 ≤ v < 4.4.15, 5.0.0 ≤ v < 5.0.7, 6.0.0 ≤ v < 6.1.2 | 3.2.3, 4.4.15, 5.0.7, 6.1.2 |
| oracle graalvm | 20.3.3, 21.2.0 | — |
| siemens sinec_infrastructure_network_services | v < 1.0.1.1 | 1.0.1.1 |
| tarnpm | 3.0.0 ≤ v < 3.2.3, 4.0.0 ≤ v < 4.4.15, 5.0.0 ≤ v < 5.0.7, 6.0.0 ≤ v < 6.1.2 | 3.2.3, 4.4.15, 5.0.7, 6.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.