CVE-2023-39532

SES, Compartments daxilində ixtiyari proqramların təhlükəsiz icrasına imkan verən JavaScript mühitidir. 0.18.7-dən əvvəlki 0.18.0, 0.17.1-dən əvvəlki 0.17.0, 0.16.1-dən əvvəlki 0.16.0, 0.15.24-dən əvvəlki 0.15.0, 0.14.5-dən əvvəlki 0.14.0 və 0.13.5-dən əvvəlki 0.13.0 versiyalarında SES altında qonaq tətbiqlərin məhdudlaşdırılmasında boşluq mövcuddur ki, bu da ətrafdakı hostun konfiqurasiyasından və tətbiqindən asılı olaraq ya məlumatların çıxarılması imkanı, ya da ixtiyari kodun icrası kimi təzahür edə bilər. Heç bir endowment olmadan belə Compartment daxilində işləyən qonaq proqram, spread operatorundan sonra dinamik importdan istifadə edərək, məsələn `{...import(arbitraryModuleSpecifier)}` kimi, ətrafdakı hostun dinamik importuna çıxış əldə edə bilər. Vebdə və ya veb genişlənmələrində adi ən yaxşı təcrübələrə uyğun Content-Security-Policy, çox güman ki, həm məlumatların çıxarılması, həm də ixtiyari kodun icrası riskini azaldır və ən azı hücumçunun import edə biləcəyi modulları tətbiqin artıq bir hissəsi olan modullarla məhdudlaşdırır. Lakin Content-Security-Policy olmadan dinamik import ya URL vasitəsilə əlaqə saxlamaq, ya da həmin mənbədən əldə edilə bilən kodun icrası üçün HTTP sorğuları göndərmək üçün istifadə edilə bilər. XS worker daxilində hücumçu hostun modul sistemindən hostun konfiqurasiya edildiyi dərəcədə istifadə edə bilər. Bu, adətən yalnız hostun fayl sistemindəki modul koduna çıxışa imkan verir və hücumçu üçün məhdud fayda daşıyır. Node.js daxilində hücumçu Node.js-in modul sisteminə çıxış əldə edir. Güclü builtins-lərin import edilməsi, yan təsirlər mövcud olduğu və dinamik import promise qaytardığı üçün tənzimləndiyi dərəcədə faydalı deyil. Promise-in obyektə spread edilməsi promise-ləri faydasız edir. Lakin Node.js data URL-lərin import edilməsinə imkan verir, buna görə də bu, ixtiyari icraya aydın yoldur. 0.18.7, 0.17.1, 0.16.1, 0.15.24, 0.14.5 və 0.13.5 versiyaları bu problem üçün yamaq ehtiva edir. Bəzi iş ətrafı həllər mövcuddur. Vebdə müvafiq şəkildə məhdudlaşdırılmış Content-Security-Policy təqdim etmək təhlükənin çox hissəsini azaldır. XS ilə işləyərkən, işləmə zamanı modulları yükləmə qabiliyyəti olmayan binary qurmaq təhlükənin tamamilə qarşısını alır. Bu, `xsPlatform.c` kimi faylda `fxRejectModuleFile` çağıran `fxFindModule` tətbiqi kimi görünəcək.