ГрамотаИБ ГрамотаИБ

BDU:2019-04690

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5) CVSS 7.699999809265137 · AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Уязвимость набора инструментов командной строки пакетных менеджеров NPM и Yarn, позволяющая нарушителю записывать произвольные файлы

Соответствие зарубежным идентификаторам

CVE-2019-16776

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость набора инструментов командной строки пакетных менеджеров NPM и Yarn существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, записывать произвольные файлы, путем создания символической ссылки на файлы вне каталога с модулями (thenode_modules) или посредством манипуляции с полем bin в package.json

Способ устранения

Использование рекомендаций: https://blog.npmjs.org/post/189618601100/binary-planting-with-the-npm-cli https://github.com/npm/cli/security/advisories/GHSA-x8qc-rrcw-4r46 Для OpenSUSE: http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00027.html Для продуктов Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/ Для продуктов Oracle: https://www.oracle.com/security-alerts/cpujan2020.html

Сведения записи

Дата публикации: 17.12.2019
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Данные уточняются

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Fedora ProjectFedora31Не указана
Node.js Foundationnpmдо 6.13.3Не указана
Node.js Foundationyarnдо 1.21.1Не указана
Novell Inc.OpenSUSE Leap15.1Не указана
Oracle Corp.GraalVM Enterprise Edition19.3.0.2Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.