pnpm vs npm エクスプロイト

このリポジトリは、tarball からの npm と pnpmのインストール方法の違いがどのように悪用され得るかを示しています。 このエクスプロイトは CVE-2023-37478 に記録されています。

ここで構築された JavaScript パッケージは、ユーザーに良いメッセージを表示すると主張しています。npm でインストールした場合、これは本当です。 しかし、同じパッケージを pnpm でインストールすると、意地悪なメッセージが表示されます。 これがより悪意のある形で悪用される可能性は想像に難くないでしょう。

このエクスプロイトで動作する古い脆弱なバージョンの pnpm は こちら にあります。 これは 新しいバージョンの pnpm で修正されており、修正内容は こちら で確認できます。

このリポジトリの使い方

exploitative_package_src には、パッケージ のソースが含まれています。 フォルダ (V0.1) には悪意のあるコードが含まれ、 (V0.2) には無害なコードが含まれています。 は、悪意のあるバージョンが無害なバージョンより先に tarball に追加されるように tar パッケージを構築します。