Компания GitHub раскрыла подробности о семи уязвимостях в пакетах tar и @npmcli/arborist, предоставляющих функции для работы с tar-архивами и расчета дерева зависимостей в Node.js. Уязвимости позволяют при распаковке специально оформленного архива перезаписать файлы за пределами корневого каталога, в который осуществляется распаковка, насколько это позволяют текущие права доступа. Проблемы дают возможность организовать выполнение произвольного кода в системе, например, через добавление команд в ~/.bashrc или ~/.profile при выполнении операции непривилегированным пользователем или через замену системных файлов при запуске с правами root...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=55767

• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:11 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:59 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,pashev.me, 11:28 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Xasd7, 11:43 , 09-Сен-21
        • Уязвимость в NPM, приводящая к перезаписи файлов в системе,pashev.me, 11:45 , 09-Сен-21
        • Уязвимость в NPM, приводящая к перезаписи файлов в системе,lockywolf, 12:28 , 09-Сен-21
          • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 14:55 , 09-Сен-21
            • Уязвимость в NPM, приводящая к перезаписи файлов в системе,заминированный тапок, 10:17 , 13-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Anonymoustus, 11:50 , 09-Сен-21
        • Уязвимость в NPM, приводящая к перезаписи файлов в системе,anonynous, 22:59 , 13-Сен-21
          • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Anonymoustus, 23:15 , 13-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 12:59 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Брат Анон, 14:43 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Тот_Самый_Анонимус, 20:53 , 11-Сен-21
        • Уязвимость в NPM, приводящая к перезаписи файлов в системе,anonynous, 23:01 , 13-Сен-21
          • Уязвимость в NPM, приводящая к перезаписи файлов в системе,anonynous, 23:03 , 13-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Pilat66, 17:50 , 16-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Онаним, 00:08 , 10-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 08:04 , 10-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,___, 10:13 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Sw00p aka Jerom, 10:16 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:30 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:19 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:23 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Жорш, 10:24 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:39 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Жироватт, 10:23 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:40 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:40 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:19 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:31 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,безответственность не всё, 11:02 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 12:37 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 13:37 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 13:37 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,пох., 19:57 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,anonymous, 11:48 , 13-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,pashev.me, 11:26 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,PetrG, 11:56 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 12:04 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,And, 12:22 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,lockywolf, 12:34 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,JSOneLove, 12:40 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 13:25 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,commiethebeastie, 14:35 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 19:53 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,sweetlao, 12:38 , 12-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,OpenEcho, 18:08 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Ананоним, 13:36 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 13:37 , 09-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,кек, 18:35 , 09-Сен-21
  • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 19:55 , 09-Сен-21
    • Уязвимость в NPM, приводящая к перезаписи файлов в системе,кек, 22:56 , 09-Сен-21
      • Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 10:47 , 10-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Онаним, 00:07 , 10-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Какаянахренразница, 16:31 , 10-Сен-21
• Уязвимость в NPM, приводящая к перезаписи файлов в системе,Аноним, 16:14 , 13-Сен-21

остановите, нормальному программисту надо выйти

Это чем ты занимаешься нормальный?) Нейросетки? Другие алгоритмы машинного обучения? Делаешь комиты в ядро linux? Алгоритмы распознавания образов? Пишешь игровые движки? Движки физ. процессов? Мат. моделирование? Программы для космических спутников? Или может прошивки для крутых устройств пишешь на ассемблере и C++?

Фортран.

Лучший язык, в том числе для обучения.

Простой, не не примитивный. Минимальная программа - end.
Батарейки в комплекте.

Компилируемый. Близкий к железу. Но можно и на кластерах.

> Батарейки в комплекте.

точно? :-D

Точно.

Врёт как дышит. В комплекте там только многопоточность и функция Бесселя

хотя если аноним считает бомбы, это, конечно, уже немало

В С++ тоже есть функция Бесселя.

и многопоточность

Для обучения Фортран вряд ли стоит называть лучшим. Или придётся объяснять учащимся всю предысторию, включая перфокарты и синтаксис старого Фортрана, иначе не будет понимания о преемственности поколений языка и оправданности его современного и дальнейшего применения. А ведь маленькие будущие погромизды, глядя на различия Фортранов, этими вопросами неминуемо озаботятся и зададут их вам.

Паскаль был и есть лучшим языком для обучения. И «обобщённый» Бейсик я бы поставил на второе место по этому критерию.

паскаль язык который можно использовать только для обучения.
то есть использовать его в реальности смысла 0. лучше уж фортран. он точен.

Я себе недавно написал на Паскале ненужную, как мне думалось, программу, чтобы просто вспомнить годы молодые и размять мозги, но которая внезапно не раз и не два оказалась нужной и я ею пользуюсь время от времени.

На Паскале очень хорошо и удобно писать хорошо структурно оформленные, наглядные и понятные программы.

Паскаль хорош и тем, что понятен не только, пока пишешь, но и когда-нибудь в будущем, когда читаешь.

> не не примитивный

двойное отрицание... Значит примитивный?

> Лучший язык, в том числе для обучения.

Изыди, сотона!

Фортран-77, сгинь нечистый!

Отвечу трусливому Anonymoustus'у под вашим комментом, ибо он запретил ответы ему.
Паскаль — кал для обучения.
Операторные скобки, выглядящие как операторы? — Это паскаль!
Логические операции в виде слов? — Это паскаль! (интересно, а почему они тогда знаки + и - ге заменили словами plus и minus?).
Кастрированный for?  Снова паскаль!
Ориентированность на систаксис английского языка и грамматики с маразматичным запоминанием, надо ли ставить точку с запятой пере else? — Паскаль, кто ж ещё?

Шикарный язык, что ещё сказать...

а от синтаксиса ссылок плакать хочется.
и повеситься.
и бегин енд по сравнению с ним - детский лепет.
крышечки ... <censored>...

уж лучше lisp для обучения
он проще и _логичнее_ !

Не знаю как сейчас, а лет тридцать назад это был чуть ли не единственный язык с нормальными операциями над строками. На нём написать интерпретатор было просто удовольствие после C.

Биллинга мобильной телефонии хватит? :)

нормальный погромист это тот кто не ищет на реализацию микрометода готовый микропакет с единственной функцией, тот кто не "бампает" версию зависимостей не каждый визг.

чтобы вам было понятно в нодежс очень просто любому популярному пакету заговнокодить внутрь себя уязвимости или бекдоры и всем будет пофиг ибо никто не читает изменения самого кода.

где коммент что никогда такого не было?

петросяны в школе :)

если Ваганыча нету, то ты Степаненко и его подменяешь

Там же где и комментарий про раст. Тут.

тут — это вам не там!

> Уязвимости позволяют при распаковке специально оформленного архива перезаписать файлы за пределами корневого каталога, в который осуществляется распаковка, насколько это позволяют текущие права доступа.

А на Rust такого бы не было!

Конечно раст это же +146% к безопасности. На нем можно даже не писать, можно просто верить в безопасность раста.

Это настолько часто бывает, что и вот, опять.
Спасибо за напоминание про дежурный комментарий.
Максу надо сделать автодобавление его по кейвордам "NPM" + "уязвимость"

> по кейвордам "NPM" + "уязвимость"

достаточно просто "уязвимость"

Комментарии уже давно можно генерировать нейросетью.

Классика

но это знать не надо

то ли ещё будет. и в хвалёном rust такое будет и в Go и в питонах.

всё от моды на безответственность!

В Go, по факту, есть проверки, а если нет по какой-то причине, то там написано в комменте к функции (я о встроенных пакетах).
А если человек разбирается только в URL, а в механизмах работы с путями ФС не шарит, то язык уже не при чем.

В Go поступили проще сделали управление зависимостми неудобным. Это предотвращает бесконечные цепочки зависимостей. Безопаснее всего работа с зависимостями в C там с зависимостями просто никак не работают. Есть одна, две любы, которые все доят.

*либы, хотя любы даже забавнее.

вы услышали отровения человека, ни разу не пытавшегося собрать какой-нибудь cmake.

Две либы, ага, щас. Весь интернет не хочешь?!

Просто управление зависимостями обычно переложено на собирателей дистрибутивов. Которые хотя бы стараются иметь их ограниченное количество и при этом одинаковых для всех собираемых пакетов, а не каждый со своей уникальной версией одного и того же.

Генитальным разработчикам такое ограничение полета их мыслей, конечно же, претит.

Каким образом "такое будет" в Go?

Негодяи.

Проработал с этим чудом техники больше года. Это как пасти хорошо накормленых тараканов. Только сделал npm audit fix, через неделю опять развлечений насыпало. Даже зависимости разрешать не умеет.

Представил себе зубастые пасти тараканов, спасибо поблевал.

У нас ведущий техническую часть разработки на всю сотню кодеров разок в неделю постит мемы. Чтобы не забывали и не привыкали к недостаткам JS.

Без этого было бы экспрессивно абсцентно плохо.

В общем, связанное с JS означает переусложнение в разработке. Приходится управлять ненужными обстоятельтвами из-за недостатков инструмента.

Какая разница? Я ещё ни одной программы на жс запустить не смог, окромя как в доккере. А в доккере это не важно.

ну ладно, вот вам патч:
if (leftstr(path, 4) == '////') path = rightstr(path, -4);
if (leftstr(path, 3) == '///') path = rightstr(path, -3);
if (leftstr(path, 2) == '//') path = rightstr(path, -2);
if (leftstr(path, 1) == '/') path = rightstr(path, -1);

Ты опоздал, они уже запатчили - https://www.opennet.dev/opennews/pics_base/0_1553748508.jpg

Что за чинкод?

индиан вообще-то

мышееду неприятно

s~^\s*(\/|\\)+~~g

Смех Жириновского уже был? Чё не смеётесь, не смешно? Этож piece of crap самынастоящы.

Про tar в теме новости не указали.

Надо было ставить rar!

и паковать-распаковывать прямо в облаке владельца архиватора, вообще же достаточно JSON-чиками обменяться

Глупость какая, он есть в репах

это ирония о вебтрендах

Хосспаде, што, о5 dependency chaos поимели?
Ну и фиг с ним.

Отродясь такого не бывало, и опять то же самое ©

Да вы что? А какже безопастная память?