CVE-2019-16775
Açıklama
6.13.3 öncesindeki npm CLI sürümleri, Keyfi Dosya Yazma (Arbitrary File Write) zafiyetine sahiptir. Paketlerin, kurulum sırasında bin alanı aracılığıyla node_modules klasörü dışındaki dosyalara sembolik bağlantılar (symlinks) oluşturması mümkündür. package.json bin alanında uygun şekilde yapılandırılmış bir giriş, paket yayıncısının paket yüklendiğinde kullanıcının sistemindeki keyfi dosyalara işaret eden bir sembolik bağlantı oluşturmasına izin verir. Bu davranış, yükleme betikleri (install scripts) aracılığıyla hala mümkündür. Bu zafiyet, --ignore-scripts yükleme seçeneğini kullanan kullanıcıları baypas eder.
Nasıl düzeltilir
- npmjs npm6.13.3 ya da sonraki bir sürüm
- npm6.13.3 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/
- access.redhat.com/errata/RHEA-2020:0330
- access.redhat.com/errata/RHSA-2020:0573
- access.redhat.com/errata/RHSA-2020:0579
- access.redhat.com/errata/RHSA-2020:0597
- access.redhat.com/errata/RHSA-2020:0602
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat enterprise_linux | 8.0 | — |
| redhat enterprise_linux_eus | 8.1 | — |
| npmjs npm | v < 6.13.3 | 6.13.3 |
| opensuse leap | 15.1 | — |
| oracle graalvm | 19.3.0.2, 20.3.3, 21.2.2 | — |
| fedoraproject fedora | 31 | — |
| npmnpm | v < 6.13.3 | 6.13.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.