Vulnérabilité dans @npmcli/arborist (CVE-2021-39135)

Résumé

Vulnérabilité dans @npmcli/arborist (CVE-2021-39135). Des informations confidentielles peuvent être exposées. Exploitable via node_modules. Atténuation : mise à jour vers 2.8.2 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

Arbitrary File Creation, Arbitrary File Overwrite, Arbitrary Code Execution

@npmcli/arborist, the library that calculates dependency trees and manages the node_modules folder hierarchy for the npm command line interface, aims to guarantee that package dependency contracts will be met, and the extraction of package contents will always be performed into the expected folder.

This is accomplished by extracting package contents into a project's node_modules folder.

If the node_modules folder of the root project or any of its dependencies is somehow replaced with a symbolic link, it could allow Arborist to write package dependencies to any arbitrary location on the file system.

Note that symbolic links contained within package artifact contents are filtered out, so another means of creating a node_modules symbolic link would have to be employed.

A preinstall script could replace node_modules with a symlink. (This is prevented by using --ignore-scripts.)
An attacker could supply the target with a git repository, instructing them to run npm install --ignore-scripts in the root. This may be successful, because npm install --ignore-scripts is typically not capable of making changes outside of the project directory, so it may be deemed safe.

Patches

2.8.2 (included in npm v7.20.7 and above)

Workarounds

Do not run npm install on untrusted codebases, without first ensuring that the node_modules directory in the project is not a s…

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2021-39135 a été découverte dans @npmcli/arborist.
Des attaquants peuvent cibler un point d'entrée spécifique comme node_modules à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées.
Action : mettez à jour @npmcli/arborist vers 2.8.2 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @npmcli/arborist CVE-2021-39135 » sur le site de l'éditeur.

CVE-2021-39135 (@npmcli/arborist) — CWE-59
Vecteur d'attaque : local / non authentifié
Surface d'attaque : node_modules / preinstall / workspaces
Correctif : 2.8.2 — appliquer immédiatement
Contournement : Do not run npm install on untrusted codebases, without first ensuring that the node_modules directory in the project is not a symbolic link.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-59) affecte @npmcli/arborist. Les attaquants atteignent le code vulnérable via node_modules sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de @npmcli/arborist. Surface d'attaque : node_modules / preinstall / workspaces.

🔥 Gravité

Gravité : ?. Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 2.8.2.

🛡️ Contournement

Contournement : Do not run npm install on untrusted codebases, without first ensuring that the node_modules directory in the project is not a symbolic link.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r '@npmcli/arborist' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で @npmcli/arborist を grep し、稼働しているサービス・バージョンを把握する。
2
Apply temporary workaround mitigate
```
Do not run `npm install` on untrusted codebases, without first ensuring that the `node_modules` directory in the project is not a symbolic link.
```
パッチが適用されるまでの応急処置として、Do not run npm install on untrusted codebases, without first ensuring that the node_modules directory in the project is not a symbolic link. を実施。回避策の副作用 (機能低下) を確認した上で。
3
Apply patch patch
```
Upgrade @npmcli/arborist to 2.8.2
```
ステージング環境で 2.8.2 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
4
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm @npmcli/arborist

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2.8.2"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Alpine Linux ALPINE-CVE-2021-39135 nodejs Corrigé dans: 12.22.6-r0
Debian DEBIAN-CVE-2021-39135 npm Corrigé dans: 7.24.0+ds-2