CVE-2021-43616

सारांश

npm 7.x और 8.x से 8.1.3 तक के संस्करणों में `npm ci` कमांड तब भी इंस्टॉलेशन के साथ आगे बढ़ता है, जब package-lock.json में दी गई डिपेंडेंसी जानकारी package.json से भिन्न होती है। यह व्यवहार दस्तावेज़ीकरण के अनुरूप नहीं है, और इससे हमलावरों के लिए मैलवेयर इंस्टॉल करना आसान हो जाता है, जिसे package-lock.json में सटीक संस्करण मिलान की आवश्यकता द्वारा रोका जाना था। ध्यान दें: npm टीम का मानना है कि यह कोई भेद्यता नहीं है। इसके लिए किसी को package.json को सोशल इंजीनियरिंग के माध्यम से बदलना होगा, जिसमें package-lock.json से भिन्न डिपेंडेंसी हों। उस उपयोगकर्ता के पास डिपेंडेंसी बदलने के लिए फ़ाइल सिस्टम या राइट एक्सेस होना चाहिए। npm टीम का कहना है कि दुर्भावनापूर्ण अभिनेताओं को सोशल इंजीनियरिंग या फ़ाइल सिस्टम एक्सेस प्राप्त करने से रोकना npm CLI के दायरे से बाहर है।

स्रोत

• CVE-2021-43616PoC

  CVE-2021-43616 का प्रदर्शन: npm `ci` कमांड package-lock.json को अनदेखा कर रहा है, जिससे अनपेक्षित डिपेंडेंसी संस्करण इंस्टॉलेशन और सप्लाई-चेन जोखिम उत्पन्न होता है।