CVE-2020-7720

Atak Prototype Pollution polega na manipulacji właściwościami prototypu obiektu JavaScript (np. Object.prototype) poprzez specjalnie spreparowane dane wejściowe. Funkcja util.setPath w podatnych wersjach node-forge nie przeprowadza wystarczającej walidacji kluczy przekazywanych przez użytkownika, co pozwala atakującemu na wstrzyknięcie lub nadpisanie właściwości dziedziczonych przez wszystkie obiekty w aplikacji. Może to prowadzić do zmiany zachowania aplikacji w sposób niezamierzony przez programistę.

Atakujący może zmodyfikować globalny prototyp obiektów JavaScript, co w zależności od kontekstu aplikacji może prowadzić do ujawnienia poufnych danych, naruszenia integralności działania aplikacji lub doprowadzenia do jej niedostępności (denial of service), a w skrajnych przypadkach do zdalnego wykonania kodu (RCE).

Należy zaktualizować pakiet node-forge do wersji 0.10.0 lub nowszej. Uwaga: wersja 0.10.0 jest zmianą przełomową (breaking change) — podatne funkcje zostały z niej całkowicie usunięte. Przed aktualizacją należy zweryfikować kompatybilność aplikacji z nowym API.

Pakiet node-forge (Digitalbazaar Forge) we wszystkich wersjach przed 0.10.0.

Wersja 0.10.0 stanowi breaking change — podatne funkcje (w tym util.setPath) zostały usunięte, a nie tylko poprawione. Administratorzy powinni uwzględnić testy regresji przed wdrożeniem aktualizacji.