CVE-2025-64726

Socket Firewall, paket yöneticisi isteklerini yakalayan ve tehlikeli paketleri engelleyerek güvenlik politikalarını uygulayan bir HTTP/HTTPS proxy sunucusudur. Socket Firewall binary sürümleri (yükleyicilerden ayrı), 0.15.5 öncesindeki versiyonlarda güvenilmeyen proje dizinlerinde çalıştırıldığında rastgele kod yürütmeye karşı savunmasızdır. Bu zafiyet, bir saldırganın proje dizinine kötü amaçlı bir `.sfw.config` dosyası yerleştirerek rastgele kod yürütmesine olanak tanır. Bir geliştirici bu dizinde Socket Firewall komutlarını (örneğin, `sfw npm install`) çalıştırdığında, araç `.sfw.config` dosyasını yükler ve ortam değişkenlerini doğrudan Node.js işlemine aktarır. Bir saldırgan, Socket Firewall'un güvenlik kontrolleri başlatılmadan önce kötü amaçlı JavaScript kodu yürütmek için `NODE_OPTIONS` değerini bir `--require` direktifi ile ayarlayarak bunu istismar edebilir ve böylece aracın kötü amaçlı paket tespit mekanizmasını etkili bir şekilde atlayabilir. Saldırı vektörü dolaylıdır; bir geliştiricinin güvenilmeyen bir proje için bağımlılıkları yüklemesini ve güvenilmeyen projenin bağlamında bir komut yürütmesini gerektirir. Zafiyet, Socket Firewall sürüm 0.15.5'te giderilmiştir. Kullanıcıların 0.15.5 veya daha yeni bir sürüme yükseltme yapmaları önerilir. Düzeltme, yapılandırma dosyası değerlerini alt işlem ortamlarından izole eder. Sürüm bilgileri için `sfw --version` komutuna bakınız. Eğer kullanıcılar önerilen kurulum mekanizmasına (örneğin, `npm install -g sfw` aracılığıyla küresel kurulum) güveniyorlarsa herhangi bir geçici çözüme gerek yoktur. Bu sarmalayıcı paket, kullanıcıların otomatik olarak Socket Firewall'un en güncel sürümünü çalıştırdığından emin olur. Binary dosyasını manuel olarak kuran ve hemen yükseltme yapamayan kullanıcılar, Socket Firewall'u güvenilmeyen proje dizinlerinde çalıştırmaktan kaçınmalıdır. Herhangi bir yeni projede Socket Firewall'u çalıştırmadan önce, şüpheli `NODE_OPTIONS` veya yerel dosyalara referans veren diğer ortam değişkeni tanımları için `.sfw.config` ve `.env.local` dosyaları incelenmelidir.