CVE-2021-43616

概要

npm 7.x および 8.x から 8.1.3 における `npm ci` コマンドは、package-lock.json 内の依存関係情報が package.json と異なる場合でも、インストールを続行します。この動作はドキュメントと矛盾しており、package-lock.json における厳密なバージョン一致要件によってブロックされるはずだったマルウェアを、攻撃者がインストールしやすくなります。注記: npm チームはこれを脆弱性ではないと考えています。この状況を悪用するには、package.json を package-lock.json とは異なる依存関係にソーシャルエンジニアリングする必要があり、そのユーザーは依存関係を変更するためのファイルシステムまたは書き込みアクセス権を持っている必要があります。npm チームは、悪意のある攻撃者によるソーシャルエンジニアリングやファイルシステムアクセスの取得を防ぐことは、npm CLI の適用範囲外であると述べています。

• CVE-2021-43616PoC

  CVE-2021-43616のデモンストレーション：npmの`ci`コマンドがpackage-lock.jsonを無視し、意図しない依存関係バージョンのインストールとサプライチェーンリスクを引き起こします。