forum.opennet.ru

"Уязвимость в NPM-пакете node-netmask, применяемом в 270 тысячах проектах"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Заметили полезную информацию ? Пожалуйста добавьте в FAQ на WIKI.

"Уязвимость в NPM-пакете node-netmask, применяемом в 270 тысячах проектах"	+/–
Сообщение от opennews (ok), 29-Мрт-21, 11:22
В NPM-пакете node-netmask, насчитывающем около 3 млн загрузок в неделю и используемом в качестве зависимости у более 270 тысяч проектов на GitHub, выявлена уязвимость (CVE-2021-28918), позволяющая обойти проверки, в которых сетевая маска используется для определения вхождения в диапазоны адресов или для фильтрации. Проблема устранена в выпуске node-netmask 2.0.0... Подробнее: https://www.opennet.me/opennews/art.shtml?num=54857
Ответить \| Правка \| Cообщить модератору

Оглавление

Уязвимость в NPM-пакете node-netmask, применяемом в 270 тысячах проектах, opennews, 29-Мрт-21, 11:22 [смотреть все]

никогда не было и вот опять , Леголас, 29-Мрт-21, 11:22 (1) //
- Никаких 127 0 0 1 в приличных системах быть не должно , Аноним, 29-Мрт-21, 11:53 (12) //
  - ровно как и nodejs, Аноним, 29-Мрт-21, 11:53 (13)
  - Как избавиться предлагаеш от 127 0 0 1 , валяйте, 29-Мрт-21, 19:42 (83) //
    - заменить на , B, 30-Мрт-21, 19:16 (102)
- Люблю эти Черномырдинки, Dzen Python, 29-Мрт-21, 13:19 (34)
вот это не понял 0177 0 0 1 , которое соответствует 127 0 0 1 поясните пожалу, имятакое, 29-Мрт-21, 11:23 (2) //
- Восьмеричная запись начинается с нуля, Ононимус, 29-Мрт-21, 11:27 (3)
- 0177 - восьмиричная система счисленияпереводим в 10-ю и получаем 127, Аноним, 29-Мрт-21, 11:28 (4)
- 0 в начале числа по традиции у программистов означает 8-ричную систему счисления, A.Stahl, 29-Мрт-21, 11:30 (5) //
  - Странная традицияДля интереса посмотрел що в жс как записывается все начинается, Lex, 29-Мрт-21, 12:15 (22) //
    - Кто писал на C, тот привык C появился на PDP-11, там восьмеричная система счисле, userd, 29-Мрт-21, 12:49 (27)
- ping 0177 0 0 1PING 0177 0 0 1 127 0 0 1 56 84 bytes of data 64 bytes from , Аноним, 29-Мрт-21, 11:33 (6) //
  - - поясните пожалуйста, почему это равно этому- да, смотри, это равно этому, Леголас, 29-Мрт-21, 11:39 (7) //
    - Потому что потому с , Аноним, 29-Мрт-21, 12:00 (15)
  - Для полноты картины нужно попинговать 0x7F 0 0 1 , 0x7f 1 , 0x7F000001 , 0177000, userd, 29-Мрт-21, 12:19 (23) //
    - А ведь работает даже под виндой , Tester, 29-Мрт-21, 15:18 (62)
- oct - dec, anonymous, 29-Мрт-21, 12:15 (21) //
  - oct - nov - dec, неуч, Аноним, 29-Мрт-21, 14:10 (50) //
    - Почему католические программисты путают Хеллоуин и Рождество Потому, что Oct 31 , Ыыы, 29-Мрт-21, 17:22 (75)
Было большой ошибкой додуматься до включение восьмеричных чисел в спецификации I, Аноним, 29-Мрт-21, 11:39 (8) //
- Авторы спеков так видят , пойми Скажи спасибо еще римские цифры не добавили , Аноним, 29-Мрт-21, 11:42 (9)
- Для своих целей восьмиричные числа весьма наглядные , gogo, 29-Мрт-21, 14:50 (57)
- Обезьянки взяли спеки, и написали по спекам , как привыкли В реальном мире всё , Аноним, 29-Мрт-21, 16:36 (66)
- Ваша способность выявлять ошибки вызывает сомнения, Аноним, 29-Мрт-21, 17:26 (76)
В ipv6 такая же ситуация , Аноним, 29-Мрт-21, 11:58 (14) //
- Другая , Аноним, 29-Мрт-21, 14:11 (51)
Зевнул Уже даже не смешно Норма для ноды, руби и прочих растов с композерами , Аноним, 29-Мрт-21, 12:01 (16) //
- Дело не в ноде, а коде inet_aton на C который изначально нарушал стандарт , Аноним, 29-Мрт-21, 12:12 (20) //
  - Именно - дело в коде , Аноним, 29-Мрт-21, 12:29 (25)
  - а можно детальнее - какой именно стандарт и в чем , Урри, 29-Мрт-21, 13:04 (30) //
    - Ну вот ссылка в статье есть на спецификациюhttps tools ietf org html draft-mai, Аноним, 29-Мрт-21, 13:14 (31)
      - de facto standardЭто и не стандарт вовсе, а так принято А стандарт допускает и, 1, 29-Мрт-21, 13:47 (42)
      - Какие еще стандарты, там галимотья на кофескрипте конвертящая тупостроки Афтор , Аноним, 29-Мрт-21, 13:58 (45)
        
        Если задача стояла конвертить строки, то логично что работа идёт в т числе и со , Аноним, 29-Мрт-21, 14:03 (49)
        
        Ну еслиб тебя не роняли в детстве на голову так часто - то смог бы осилить айпи , Аноним, 29-Мрт-21, 15:42 (63)
        
        Если бы тебя не роняли в детстве, ты бы не писал чушь в комментариях, Аноним, 30-Мрт-21, 09:15 (92)
      - Не вижу нарушения Может подскажете где именно , Урри, 29-Мрт-21, 17:13 (74)
  - Дело снова в отсутствии полноценной валидации входных данных То есть в кривых ру, Онаним, 29-Мрт-21, 14:23 (52)
- На Руби не гони, э https ideone com H0ewsRТут вам не питонжсы , Аноним, 02-Апр-21, 22:13 (105)
Магия и остроумие костыликов сделать просто - договориться о волшебном значении, Анонимно Аффтор, 29-Мрт-21, 12:03 (17) //
- Вы таки будете смеяться, но если в вендовой командной строке так что-то попингов, ryoken, 29-Мрт-21, 15:12 (60) //
  - Поинт в другом Сокрытие настоящего типа объекта приводит к внезапности , Анонимно Аффтор, 29-Мрт-21, 16:07 (65)
Вот они удивятся когда узнают что можно не только восьмеричные писать, но и 16-р, Аноним, 29-Мрт-21, 12:07 (18) //
- Ээээ слушай, канчай шатать наша вселенная нода жс да , Аноним, 29-Мрт-21, 13:03 (29)
- господа нодисты открыли ящик Пандоры, Леголас, 29-Мрт-21, 13:29 (37) //
  - Нее Тот ящик на всех подействовал И был чужим А эти сами себе всё делают , Аноним, 29-Мрт-21, 15:13 (61)
Я пробежал указанный документ Из него следует что это не особо и то и вина разр, Аноним, 29-Мрт-21, 12:11 (19)
Забавно смотреть как поступи ничего из себя не представляющие обитатели местного, Посылатель нахер, 29-Мрт-21, 12:46 (26) //
- Уж больно есть что плохого в платформе Да Повлияла на индустрию Но мир внутри , Аноним, 29-Мрт-21, 13:44 (39) //
  - нет, Аноним, 29-Мрт-21, 15:44 (64) //
    - Одинэсника ответ, Твой батя, 29-Мрт-21, 21:36 (88)
  - А мог быть и хуже Назови любой язык и я его обосру Толку то , Твой батя, 29-Мрт-21, 21:37 (89) //
    - rust, фас , Аноним, 30-Мрт-21, 16:35 (101)
- На всех двух нормальных языках в природе Пакетный менеджер так не работает д, Аноним, 29-Мрт-21, 13:45 (41) //
  - Не пишешь эти два языка во избежание унижения , Твой батя, 29-Мрт-21, 21:39 (90)
Не только эти два указанных реальных IP могут обойти проверку Получается, любые, mymedia, 29-Мрт-21, 13:03 (28) //
- А на авторов либы гоните Тут свою гений RUSTут , B, 30-Мрт-21, 19:24 (103)
А если ещё с шестнадцатеричными поиграться , Аноним, 29-Мрт-21, 13:16 (32)
В новом коде насчёт 16-ричных систем тоже баг https github com rs node-netmask, Аноним, 29-Мрт-21, 13:17 (33) //
- Муахах блдажд Называется - footmade code , Онаним, 29-Мрт-21, 14:24 (53)
Других программистов на ноде у нас нет , Аноним, 29-Мрт-21, 13:29 (36) //
- И не надо , Онаним, 29-Мрт-21, 14:25 (54)
- Либу писали кофескриптисты, не надо их примешать к нодистам , Аноним, 29-Мрт-21, 21:30 (87) //
  - Сорта, Noname, 30-Мрт-21, 13:24 (96) //
    - руби, Аноним, 30-Мрт-21, 16:23 (100)
это проблема не в node, а вообще во всех языках проверка if IP 127 0 0 1 , onanim, 29-Мрт-21, 13:35 (38) //
- и для строки вида 127 0 00 1 Сравнивать строковые представления ip адресов , Аноним, 29-Мрт-21, 13:58 (46)
- так что проверять юзерский инпут нужно не только на неравность строке 127 0, onanim, 29-Мрт-21, 13:59 (47) //
  - А чо не так-то в моем юзерском инпуте Как по мне - норм же ж ip-адрес linups , пох., 29-Мрт-21, 17:08 (73)
Скажу крамольную, на данном сайте вещь Но даже сам великий и ужасный Раст не по, Аноним, 29-Мрт-21, 13:44 (40) //
- Писатели на расте никогда бы не написали код, который строится на допущении, что, Аноним, 29-Мрт-21, 13:50 (43) //
  - Стандарт допускает восьмеричные числа в айпи-адресе , Аноним, 29-Мрт-21, 16:47 (68)
  - println , 0177 0 0 1 parse Ipv4Addr Ok 177 0 0 1 , Аноним, 29-Мрт-21, 18:34 (77)
  - 0177 0 0 1 даже стандартная регулирочка из всех книжек по программированию не пр, Аноним, 29-Мрт-21, 20:02 (86)
- не вижу в этом уязвимости Просто нормальное поведение преобразования адреса А кт, 1, 29-Мрт-21, 13:51 (44)
- От кривых рук спасает только ампутация Да и вообще, с чего вы взяли, что Rust ч, Анонимъ, 29-Мрт-21, 15:09 (59) //
  - Это фракталята тут постоянно вещают Сами не знают о чем , Аноним, 29-Мрт-21, 16:48 (69)
- Точно У rust есть поддержка up адресов в стандартной библиотеке Вроде бы У ja, Аноним, 29-Мрт-21, 19:54 (84) //
  - Ip адресов, Аноним, 29-Мрт-21, 19:55 (85)
  - Дык, вот такая поддержка у них и есть Проблеме подвержена стандартная библиот, пох., 30-Мрт-21, 10:02 (94)
В защиту JS могу сказать, что багованный код написан был НЕ на JavaScript , Аноним, 29-Мрт-21, 14:01 (48)
Уязвимость NPM-пакет Предлагаю всем заучить эту формулу , Аноним, 29-Мрт-21, 14:32 (55)
Если бы это была уязвимость, то обновление вышло бы как 1 0 7 А это явно фича, и, Аноним, 29-Мрт-21, 14:50 (56) //
- Точно Чтобы у те, кто хочет оставить себе этот баг в системе, могли не апдейтит, gogo, 29-Мрт-21, 14:57 (58) //
  - Так может у них код приложения именно так и написан чтобы эта либа принимала вос, Аноним, 29-Мрт-21, 16:51 (70)
С годоми уровень программеров очень упал , Аноним, 29-Мрт-21, 16:36 (67) //
- Больше кода больше багов Не надо грязи , Аноним, 29-Мрт-21, 16:51 (71) //
  - Базовая, либсишная функция со времен появления айпи Откуда его вдруг за пол век, Аноним, 29-Мрт-21, 19:28 (81)
ребят, а как же говорили что Линукс, ГНУ, Опенсурс - это надежно, нет бакдоров, , Аноним, 29-Мрт-21, 19:00 (78) //
- Тысячи глаз и нашли Обновись просто В npm выводит предупреждения, если есть vu, Аноним, 29-Мрт-21, 23:52 (91)
- никто такого не говорил на гнуорг вообще обратное написано - что каждый думает , Аноним, 30-Мрт-21, 15:05 (99)
Кучу валидаторов писала и не знала об этом , Аноним, 29-Мрт-21, 19:21 (79) //
- Так задача ж была валидатор писать, а не знать Чё не так- то , Noname, 30-Мрт-21, 13:53 (98)
Это даже уязвимостью назвать нельзя Библиотека явно предполагает на входе IP-адр, Аноним, 29-Мрт-21, 19:30 (82) //
- и плевать что ее единственная задача - преобразование форматов Ну оок Давайте по, пох., 30-Мрт-21, 09:42 (93)
Что-то мне никак не хватает воображения представить эксплоит Типовая задача при, PnD, 30-Мрт-21, 11:43 (95)
где-то в глубине используемых шелловых сценариев для таких случаев применяется s, Чолхан, 30-Мрт-21, 13:49 (97)
А, напомните, почему атакующий не может просто запросить ресурс, указав значение, Chupaka, 31-Мрт-21, 11:25 (104)
171 в 270 тысячах проектОВ 187 , Аноним, 03-Апр-21, 21:29 (106)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру