pnpm 锁文件注入导致代码执行漏洞 (CAND-PNPM-063)

漏洞概述 CAND-PNPM-063: 项目环境锁文件可以短路包管理器解析并执行锁文件选择的 pnpm 字节 漏洞描述：pnpm 可以在 的第一个 YAML 文档中持久化包管理器引导元数据。在补丁之前，直接 pnpm 执行信任已解析的 条目，当提交的 env 锁文件包含匹配的 和 版本时。恶意仓库因此可以提交包管理器锁文件记录和快照，这些快照绕过了正常的包管理器解析，导致 pnpm 安装并执行由提交的锁文件状态选择的字节，在自动版本切换期间。 CVSS 评分：8.8 / 10（高） 攻击向量：网络 攻击复杂度：低 特权要求：无 用户交互：需要 范围：未改变 机密性：高 完整性：高 可用性：高 影响范围 受影响的产品： - 生态系统：npm - 包名称： 、 - 受影响版本：当前版本，在补丁之前，直接 pnpm 执行与包管理器自动切换和仓库控制的 env 锁文件。 - 修复版本：待发布包含此补丁的版本。 修复方案 维护者行动计划： - 报告已准备好审查共享补丁分支。开始 PR 和预期的修复行为，然后使用详细的 exploit 叙述来替换原始路径。 - 共享补丁 PR：https://github.com/pnpm/pnpm/ghsa-jhc-m6cf-6jmbjybl - 共享补丁分支： - 补丁提交： - 基础提交： - 维护者优先级： - 组件： - 补丁区域：包管理器 env 锁文件在通过受信任的注册表执行之前重新解析。 - 受影响的包： 、 - CWE ID：CWE-829、CWE-494、CWE-345 - 保守 CVSS：8.8 / CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - 下一步行动：审查共享补丁分支的组件，设置最终受影响版本范围，合并并发布修复，然后发布或关闭建议。 预期补丁行为： - 提交的 env 锁文件包管理器条目在执行前强制刷新通过受信任的注册表；攻击者 tarball 请求和标记保持在零。 补丁详情： - 补丁使自动包管理器切换在安装和执行前重新解析仓库提供的引导元数据。 - 接受 ，绕过版本仅快速路径。 - 创建存储控制器，即使提交的 env 锁文件已经包含满足包管理器依赖版本的条目。 - 调用 并强制为已解析的包管理器条目。 - 将返回的 env 锁文件分配回 ，以便 从新解析的元数据安装。 - 包管理器引导注册表加固从 CAND-PNPM-061 重用，刷新通过受信任的包管理器注册表而不是仓库工作区注册表发生。 更改文件： - - - - Pacquet 部分： - 不需要 pacquet 侧补丁，因为 pacquet 不实现 pnpm 的包管理器自动切换路径或 。 POC 代码 验证结果 POC 确认未强制解析器重用版本匹配的 env 锁文件，证明原始原语。 补丁 调用 并强制为已提交的 env 锁文件包管理器条目。 补丁 将返回的 env 锁文件分配回 。 安装器接收刷新锁文件而不是 poisoned 提交的锁文件。 TypeScript 构建通过 和 。 修补的 Jest 回归通过，1 个跳过在 。 ESLint 通过受影响的包管理器切换文件。 通过。 剩余风险 帮助器 仍然有一个未强制的快速路径，处理匹配的 和 版本作为解析。当前执行敏感调用器使用受信任的注册表或传递通过补丁 边界，但未来执行路径应使用 在安装或执行来自仓库提供的 env 锁文件字节之前。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

pnpm 锁文件注入导致代码执行漏洞 (CAND-PNPM-063)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

pnpm 锁文件注入导致代码执行漏洞 (CAND-PNPM-063)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！