CVE-2025-64726

Socket Firewall paket meneceri sorğularını qarşılayan və təhlükəli paketləri bloklayaraq təhlükəsizlik siyasətlərini tətbiq edən bir HTTP/HTTPS proksi serveridir. Quraşdırıcılardan ayrı olan Socket Firewall binary versiyaları 0.15.5 versiyasından əvvəl etibarsız layihə kataloqlarında işlədildikdə ixtiyari kodun icrasına qarşı həssasdır. Bu zəiflik hücumçuya layihə kataloquna zərərli `.sfw.config` faylı yerləşdirməklə ixtiyari kodu icra etməyə imkan verir. Tərtibatçı həmin kataloqda Socket Firewall əmrlərini (məsələn, `sfw npm install`) işlətdikdə, alət `.sfw.config` faylını yükləyir və mühit dəyişənlərini birbaşa Node.js prosesinə doldurur. Hücumçu bunu, Socket Firewall-un təhlükəsizlik nəzarətləri başladılmazdan əvvəl zərərli JavaScript kodunu icra etmək üçün `NODE_OPTIONS`-u `--require` direktivi ilə təyin edərək istifadə edə bilər ki, bu da alətin zərərli paket aşkarlama mexanizminin effektiv şəkildə yan keçilməsinə səbəb olur. Hücum vektoru dolayıdır və tərtibatçının etibarsız layihə üçün asılılıqları quraşdırmasını və etibarsız layihə kontekstində əmr icra etməsini tələb edir. Zəiflik Socket Firewall 0.15.5 versiyasında aradan qaldırılmışdır. İstifadəçilər 0.15.5 və ya daha yeni versiyaya yüksəltmə etməlidirlər. Düzəliş konfiqurasiya faylı dəyərlərini altproses mühitlərindən izolyasiya edir. Versiya məlumatı üçün `sfw --version` əmrinə baxın. Əgər istifadəçilər tövsiyə olunan quraşdırma mexanizmindən (məsələn, `npm install -g sfw` vasitəsilə qlobal quraşdırma) istifadə edirlərsə, heç bir alternativ həll yolu tələb olunmur. Bu wrapper paketi avtomatik olaraq istifadəçilərin Socket Firewall-un ən son versiyasını işlətdiyini təmin edir. Binary faylı manualla quraşdıran və dərhal yeniləyə bilməyən istifadəçilər Socket Firewall-u etibarsız layihə kataloqlarında işlətməməlidirlər. Hər hansı yeni layihədə Socket Firewall-u işə salmazdan əvvəl `.sfw.config` və `.env.local` fayllarını şübhəli `NODE_OPTIONS` və ya lokal fayllara istinad edən digər mühit dəyişəni tərifləri üçün yoxlayın.