В JavaScript-библиотеке JsonWebToken с реализацией технологии JSON Web Token (JWT)  выявлена уязвимость (CVE-2022-23529), позволяющая добиться удалённого выполнения кода при верификации специально оформленного JWT-запроса. За последнюю неделю библиотека была загружена из каталога NPM более 10 млн раз...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=58462

• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 13:52 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 13:55 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 14:16 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:32 , 11-Янв-23
        • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 15:44 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 14:15 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Вы забыли заполнить поле Name, 15:52 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,rshadow, 17:10 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,., 21:00 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 13:58 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,амоним, 21:59 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:05 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:06 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:10 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Весельчак У, 14:14 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 14:18 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:07 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,амоним, 22:00 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:27 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:42 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 14:47 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:04 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:13 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:16 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:14 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Вы забыли заполнить поле Name, 15:57 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 16:06 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Бывалый смузихлёб, 17:33 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Омномним, 15:06 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,another_one, 15:19 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Омномним, 16:19 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:09 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,another_one, 15:13 , 11-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 15:42 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 21:02 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 21:09 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,another_one, 10:06 , 12-Янв-23
• RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Вы забыли заполнить поле Name, 16:03 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 16:21 , 11-Янв-23
  • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 16:23 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 17:59 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 18:03 , 11-Янв-23
    • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Деанон, 18:09 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 18:36 , 11-Янв-23
      • RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 м...,Аноним, 19:54 , 11-Янв-23
• Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Аноним, 16:30 , 11-Янв-23
  • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Вы забыли заполнить поле Name, 18:09 , 11-Янв-23
    • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Аноним, 18:43 , 11-Янв-23
• Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,ip1982, 16:40 , 11-Янв-23
  • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Бывалый смузихлёб, 17:36 , 11-Янв-23
  • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Вы забыли заполнить поле Name, 18:08 , 11-Янв-23
    • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,ip1982, 19:19 , 11-Янв-23
    • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Аноним, 20:32 , 11-Янв-23
      • Уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн з...,Вы забыли заполнить поле Name, 00:38 , 12-Янв-23

> более 10 млн раз

Откуда такие цифры? В интернете реально столько много сайтов, что какая-то левая либа загружается милионы раз?

Первый день в интернете? Или гуманитарий? Или  млао витаминов ел? Тебе бы поработать над собой с тобой явно что-то не так.

Заходишь на https://www.npmjs.com/package/jsonwebtoken графа Weekly downloads.

Гуманитарии это фронтенд-верстальщики, не осилившие бэкенд.

node.js это бэкэнд.
JavaScript универсальный язык.

так я и говорю, что не осилили и сделали nodeJS

Это же вебмакаки. Там нельзя без обновлений и передёргиваний npm install и т.п. Каждая муха тянет за собой всю паутину в node_modules.

Роботы грузят

Например если не заморачиваться, и не подымать локальный реп. А просто при сборке в CI всегда качать пакеты заново. Все проекты поставившие его в зависимости будут на каждый чих программиста заново все собирать и качать.

> Откуда такие цифры?

Эта либа качается каждый раз при открытии сайтов, которые юзают эту либу.

И тут как вы уже догадались никакой бы безопасный язык не помог. Зачем тогда ломать голову синтаксисом р**** когда можно на нём же словить точно такую же уязвимость? Но потратить в 10 раз больше времени на написание.

ну вроде, чтобы в расте передать хренпоймичто, вместо чего-то другого все же надо поприседать

>в NPM-пакете

Ничего интересного, расходимся.

чушь какая-то, как этот объект сформировать-то удаленно? https://github.com/github/advisory-database/pull/1595

> JavaScript
> В соответствии со спецификацией <...>, но в коде <...> это не учитывается

Никогда такого не было и опять то же самое!

Если ты передаёшь с клиента объект и никак его не проверяешь, то это сама по себе уязвимость.

Хуже когда ты тянешь с гитхаба/npm импорт, а за ним еще 20 импортов, половину из которых просто какой-то левый чувак для поиграться наваял не глядя за 5 минут.

Хуже когда он, не не глядя наваял за 5 минут. А специально несколько часов сидел и внедрял бекдор.

иногда даже много дней

> в коде JsonWebToken это не учитывается и он всегда разбирается как строка с использованием метода toString()

Как раз-таки учитывается, именно поэтому и приводится явно к строке, потому как и строка, и буфер имеют метод toString().

В оригинальной реализации все сделано верно, это клиент библиотеки должен подсовывать ему аргумент правильного типа. И нет, библиотека не должна делать instanceof Buffer, поскольку:

1) программировать следует на уровне интерфейса, а не на уровне реализации,
2) instanceof Buffer не защитит от кастомных методов toString (Object.assign(new Buffer(), { toString: () => 'PWNED' }))

Вердикт: новость насквозь желтая.

>1) программировать следует на уровне интерфейса, а не на уровне реализации,

нету же статической типизации в js

хотя конечно я не знаю как нужно, как лучше js библиотеки проектировать
"Warning: When the token comes from an untrusted source (e.g. user input or external requests), the returned decoded payload should be treated like any other user input; please make sure to sanitize and only work with properties that are expected

token is the JsonWebToken string
"

"secretOrPublicKey is a string (utf-8 encoded), buffer, or KeyObject containing either the secret for HMAC algorithms, or the PEM encoded public key for RSA and ECDSA."

у них в документации указано что может быть не только строка.

Книжку какую-нибудь умную почитай. «Не должна», совсем вебмакаки обленились. Начини с Роберта Мартина «Чистая Архитектура» заодно «Чистый код» и больше чушь не пиши. Никто у них ничего не должен, капец.

Но как чистая архитектура относится к библиотеке для работы с тренерами?
Она же про разделение приложения на слои и просторение приложения независимым от фреймворков.
Вы точно эту умную книгу читали или только название?

С токенами

Ты эти свои книжки-то хоть сам открывал? В особенности те места, где настоятельно рекомендуется зависеть не от реализации, а от интерфейсов? Для проверки типов аргументов уже есть тайпскрипт, причем для сабжа тайпскриптовые определения имеются. Или ты предлагаешь их еще вдобавок проверять в рантайме?

Ну нодежс проверяет аргументы своего апи в рантайме, хотя тайпскрипт декларации тоже есть.

в документации явно указано что функция может Buffer принять.
И в определениях typescript скорее всего

Толку от тайпскриптовой “типизации“, если некорректные типы данных могут передаваться в рантайме ?

В жабоскрипте сейчас реально можно в таком виде объекты передать и они разберутся?

[pacefalm]

Нет, нельзя. Новость можно удалять, т.к. RCE собираются пометить как "withdrawn" и отозвать.

А, ну то есть ещё до такого не докатились, и то ладно.

>если передать в secretOrPublicKey вместо строки JavaScript-объект с собственным методом toString(), то при проверке будет вызван указанный атакующим код.
>JsonWebTokens
>JSON

Ну пойди, передай, через JSON. notabug, wontfix.

> вместо строки JavaScript-объект с собственным методом toString()

И откуда объект возьмется на бэкенде то? JSON не передает функции. Это не уязвимость, а какая-то хрень.

Эта новость - фейк.
По сети невозможно передать объект с методом.
Никакого RCE тут нет, как и уязвимости.

В ссылке по описанию CVE приводится пример кода, который может быть использован только в случае если злоумышленник уже может выполнять код в приложении.

OpenNet постит чушь и непроверенную информацию. Уже неоднократно написали, что данный CVE - был шуткой, чтобы показать как СМИ и базы CVE не проверяют сути заявленных уязвимостей.

CVE присвоен и исправление авторами пакета выпущено. Какая же это шутка.

https://nvd.nist.gov/vuln/detail/CVE-2022-23529  Base Score:  9.8 CRITICAL

Уведомление о наличии уязвимости от разработчиков jsonwebtoken: https://github.com/auth0/node-jsonwebtoken/security/advisori...

Этот фейк уже вышел за пределы гитхаба. Возможно, после такого скандала перестанут создавать CVE без проверки на реальный эксплоит.

https://mobile.twitter.com/testanull/status/1612794234314317824

Шаблон для новостей Джаваскрипта:

RCE-уязвимость в NPM-пакете ______, насчитывающем ___ млн загрузок в неделю

p.s. Рекомендуется указывать большие значения для кол-ва загрузок, от 10 млн и выше

Милый комментарий на фоне того, что очередная уязвимость оказалась фейком (вслед за отозванными фейками c lodash и hogan). Но иксперт не вникал в текст, иксперт бежал быстрее писать коммент!

Шаблон комментария для опеннет эксперта:

Веб-макаки, растоманы, смузихлебы, формошлепы нашлепали очередную ненужную поделку.

p.s. Рекомендуется указывать больше матов, так как модераторы экспертные мнения не удаляют.

Хотя бы эксперта, а не просто вебмакаки и непричастных к расту домоседов, называющих сишечкой

Так оно же истина. Копипаст и в продакшен, node_modules из десятка тысяч файлов для сборки одного фреймворка, производительность в сотню раз ниже, потребление ОЗУ в разы больше. Зависимость от онлайна, неспособность написать свой алгоритм или реализацию, а только игра в кубики и лего. Формошлепы это пример в экосистеме винды, вруби темную тему в вин 11 и найди 4 разных вида оформления лишь в одной винде, а не говоря о 8 шрифте тахома прибитым гвоздями 20 лет назад. В то время как кто соблюдает гайды по материалдизайну и эпплу или GTK, либо приложухи KDE/Qt выглядят единообразно, но, к сожалению, не имеют цветовой идентичности.

Для работы чата достаточно было 75КБ ELF-приложения на ARMv6 и GPRS 5КБ/с, а не LTE со сливом телефонной книги, списка приложений и идентификаторов сетевых устройств с IMEI. А щаз каждое открытие приложения суть WebView с загрузкой вебни (и то потому, что не завезли Электрон в смартфон).

75кб? Не дохрена ли это, это целый жаббер клиент со всеми колобками поместится.

Тогда напишите, в чем проблема? Покажите веб-ма..ам формош...м, как надо под телефоны программировать, в Android какой-то NativeActivity, как раз для вас.
>Для работы чата достаточно было 75КБ

в 75кб в лучше случае иконку для ланчера уместите. Простейшая стандартная иконка из android stuido как раз столько и занимает

Это просто лол.

Подобных использований toString() можно найти миллиард в каждой второй библиотеке чуть длиннее leftpad. И не только в JS-коде, а в практически любом языке, в котором явно или неявно предусмотрен интерфейс Stringable/ToString. Вот даже на вашем любимом Rust:

impl ToString for MyCoolStruct {
   fn to_string(&self) -> String {
       Command::new("rm").arg("-rf").arg("/").execute();
       return "Hello";
   }
}

О боже, можно написать код и его скомпилировать, и он выполнится!

RCE, не иначе.

Из всех языков мира макак выбрал раст для примера. Случайность? Не думаю.

Конечно, не случайность, я же на опеннете!

Вы только посмотрите, как они оформляют комиты https://github.com/auth0/node-jsonwebtoken/commit/e1fa9dcc12...

Ну это всё-таки мердж

Если речь про сообщение коммита, то он автоматически сформирован git'ом. Попробуй сделать git merge --squash from_branch

Да плевать как такое происходит. Главное — результат, а он ужасен.

П. С. И CHANGELOG нельзя изменять вместе с полезными изменениями. Нахрен им гит вообще?

git же название коммита спрашивает при merge. И в интерфейсе gitlab можно вписать осмысленное название.

> git же название коммита спрашивает при merge.

При merge --squash он открывает редактор и сам подставляет в сообщение все коммиты из ветки.

> И в интерфейсе gitlab можно вписать осмысленное название.

Ну видимо они не парятся с этим.