CVE-2019-16776
Açıklama
npm CLI'ın 6.13.3 öncesindeki sürümleri Keyfi Dosya Yazma (Arbitrary File Write) zafiyetine sahiptir. bin alanı aracılığıyla hedeflenen node_modules klasörü dışındaki klasörlere erişimi engellemede başarısız olmaktadır. package.json dosyasının bin alanında uygun şekilde oluşturulmuş bir giriş, paket yayıncısının paket yüklendiğinde kullanıcının sistemindeki keyfi dosyaları değiştirmesine ve/veya bunlara erişmesine olanak tanır. Bu davranış, yükleme betikleri (install scripts) aracılığıyla hala mümkündür. Bu zafiyet, --ignore-scripts yükleme seçeneğini kullanan kullanıcıyı atlatmaktadır.
Nasıl düzeltilir
- npmjs npm6.13.3 ya da sonraki bir sürüm
- npm6.13.3 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/
- access.redhat.com/errata/RHEA-2020:0330
- access.redhat.com/errata/RHSA-2020:0573
- access.redhat.com/errata/RHSA-2020:0579
- access.redhat.com/errata/RHSA-2020:0597
- access.redhat.com/errata/RHSA-2020:0602
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| npmjs npm | v < 6.13.3 | 6.13.3 |
| opensuse leap | 15.1 | — |
| oracle graalvm | 19.3.0.2 | — |
| fedoraproject fedora | 31 | — |
| redhat enterprise_linux | 8.0 | — |
| redhat enterprise_linux_eus | 8.1 | — |
| npmnpm | v < 6.13.3 | 6.13.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.