CVE-2022-24783

Deno: ominięcie uprawnień umożliwiające wykonanie dowolnego kodu powłoki

CVSS 10.0v3.1pub. 2022-03-25upd. 2024-11-21

Wersje środowiska uruchomieniowego Deno od 1.18.0 do 1.20.2 (włącznie) zawierają podatność krytyczną umożliwiającą całkowite ominięcie systemu uprawnień. Atakujący kontrolujący kod wykonywany w ramach Deno runtime może wykonać dowolny shellcode bez żadnych ograniczeń.

▸ Pokaż oryginał (EN)

Deno is a runtime for JavaScript and TypeScript. The versions of Deno between release 1.18.0 and 1.20.2 (inclusive) are vulnerable to an attack where a malicious actor controlling the code executed in a Deno runtime could bypass all permission checks and execute arbitrary shell code. This vulnerability does not affect users of Deno Deploy. The vulnerability has been patched in Deno 1.20.3. There is no workaround. All users are recommended to upgrade to 1.20.3 immediately.

🤖 Analiza AI

Jak działa

Deno posiada wbudowany model bezpieczeństwa oparty na jawnych uprawnieniach (np. dostęp do plików, sieci, środowiska). Podatność pozwala złośliwemu kodowi uruchamianemu wewnątrz środowiska Deno na obejście wszystkich mechanizmów weryfikacji uprawnień (CWE-269, CWE-863). W rezultacie kod, który powinien działać w izolowanym, ograniczonym środowisku, może swobodnie wykonywać operacje systemowe bez wymaganych zezwoleń. Atak możliwy jest zdalnie, bez uwierzytelnienia i interakcji użytkownika, co potwierdza maksymalny wynik CVSS 10.0.

Skutki

Atakujący kontrolujący wykonywany kod może całkowicie obejść wszystkie mechanizmy uprawnień Deno i wykonać dowolny shellcode na hoście, co może prowadzić do pełnego przejęcia systemu, wycieku danych oraz naruszenia integralności środowiska.

Mitygacja

Należy niezwłocznie zaktualizować Deno do wersji 1.20.3, w której podatność została załatana. Producent nie przewiduje żadnego obejścia (workaround) — jedynym rozwiązaniem jest aktualizacja.