【漏洞预警】npm多个高危漏洞通告

本文转自360网络安全响应中心




0x01  漏洞简述：
2021年11月17日，360CERT监测发现GitHub发布了npm的2个高危漏洞风险通告，这两个漏洞暂无cve编号，但均已修复，漏洞等级：高危，漏洞评分：8.5。


npm（全称 Node Package Manager，即“node包管理器”）是Node.js默认的、用JavaScript编写的软件包管理系统。

0x02  风险等级

360CERT对该事件的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛
攻击者价值	高
利用难度	低
360CERT评分	8.5

0x03  漏洞详情
npm信息泄露漏洞

CVE: 暂无

组件: npm

漏洞类型: 信息泄露

影响: 信息泄露

简述: GitHub公开可用的 npm 服务的日常维护引起了npmjs 的副本服务器上的数据泄漏。泄漏暴露了私有 npm 包的名称列表，但私有包的内容没有暴露。黑客可以利用这些私有包的名称以自动化的方式进行有针对性的依赖混淆和域名抢注攻击。

npm未授权漏洞

CVE: 暂无

组件: npm

漏洞类型: 逻辑处理错误

影响: 越权操作

简述: 该漏洞存在于 npm 软件包的发布过程中，源于处理对npm软件包发布请求的多个微服务之间不正确的授权检查和数据验证，导致授权和发布的软件包存在差异。该漏洞允许攻击者在未经适当授权的情况下使用帐户发布任何 npm 包的新版本。该漏洞尚未被恶意利用，并且已被修复。

0x04  影响版本

组件	影响版本
npm	暂无

0x05  修复建议（自行安装）
通用修补建议

目前这些漏洞均已修复，建议用户注意并防范。

GitHub建议npm库的维护者在他们的帐户上启用双因素身份验证 (2FA)。

0x05.1 修复建议（面板安装）

第一步：打开软件商店；

第二步：打开Node.js版本管理器；

第三步：更新软件列表，获取最新的node版本

第四步：手动更新之前安装的node.js 版本。