CVE-2021-21368

msgpack5, node.js ve tarayıcı için bir msgpack v5 uygulamasıdır. msgpack5'in 3.6.1, 4.5.1 ve 5.2.1 versiyonlarından önceki sürümlerinde bir "Prototype Poisoning" zafiyeti bulunmaktadır. msgpack5, "__proto__" anahtarını içeren bir haritayı çözdüğünde, çözülen değeri __proto__'ya atar. Object.prototype.__proto__, alıcının prototipi için bir erişim özelliğidir. Eğer __proto__ anahtarına karşılık gelen değer bir nesne veya null olarak çözülürse, msgpack5 çözülen nesnenin prototipini bu değere ayarlar. Bir servise özel olarak hazırlanmış MessagePack verileri gönderebilen bir saldırgan, bunu diğer türlerdeymiş gibi görünen değerler üretmek için kullanabilir; beklenmedik prototip özelliklerine ve yöntemlerine sahip olabilir (örneğin, __proto__'nun değeri bir Array olarak çözülürse length, sayısal özellikler ve push vb.); ve/veya kullanıldığında beklenmedik istisnalar fırlatabilir (örneğin, __proto__ değeri bir Map veya Date olarak çözülürse). Diğer türler için de başka beklenmedik davranışlar ortaya çıkabilir. Global prototip üzerinde herhangi bir etkisi yoktur. Bu "prototype poisoning", bir prototype pollution saldırısının oldukça sınırlı bir tersine çevrilmiş halidir. Yalnızca çözülen değerin prototipi etkilenir ve bu yalnızca msgpack5 değerleri olarak ayarlanabilir (ancak mağdur özel codec'ler kullanıyorsa, her şey bir msgpack5 değeri olabilir). Bunu gerçek bir prototype pollution'a yükseltmenin bir yolunu bulamadık (tüketicinin kodundaki diğer hatalar hariç). Bu durum msgpack5 versiyon 3.6.1, 4.5.1 ve 5.2.1 ile düzeltilmiştir. Örnek ve daha fazla ayrıntı için referans verilen GitHub Security Advisory'ye bakınız.