Yaygın olarak kullanılan Node.js paketi “systeminformation”da, potansiyel olarak milyonlarca sistemi uzaktan kod yürütme (RCE) saldırılarına maruz bırakan kritik bir güvenlik açığı keşfedildi.
CVE-2024-56334 olarak tanımlanan kusur, aylık 8 milyondan fazla indirmeye ve toplamda 330 milyon gibi şaşırtıcı bir indirme sayısına sahip olan paketin 5.23.6’ya kadar olan sürümlerini etkiliyor.
Güvenlik açığı, ağ SSID bilgilerini alan getWindowsIEEE8021x işlevindeki bir komut ekleme kusurundan kaynaklanıyor.
Bu işlev, SSID’yi cmd.exe’ye parametre olarak geçirmeden önce düzgün şekilde temizlemeyi başaramaz. Sonuç olarak, bir saldırgan Wi-Fi ağının SSID’sine kötü amaçlı komutlar yerleştirebilir ve bu komutlar, getWindowsIEEE8021x işlevi çağrıldığında savunmasız bir sistemde yürütülebilir.
KOBİ’ler ve MSP’ler için 2024 MITRE ATT&CK Değerlendirme Sonuçları -> Ücretsiz Kılavuzu İndirin
Paketin nasıl kullanıldığına bağlı olarak bu güvenlik açığı, saldırganların uzaktan kod yürütmesine veya yerel ayrıcalık yükseltmesine olanak tanıyabilir. Saldırıya yaklaşmak için yalnızca yerel erişim gerektiren istismar nispeten basit görünüyor.
Kavram kanıtı (PoC), iki potansiyel saldırı senaryosunu gösterir:
- SSID’yi şu şekilde ayarlayarak bir ping komutunu süresiz olarak çalıştırmak:
a" | ping /t 127.0.0.1 & - SSID’yi şu şekilde ayarlayarak yükseltilmiş ayrıcalıklarla rastgele bir yürütülebilir dosyanın yürütülmesi:
a" | %SystemDrive%\a\a.exe &
Kötü amaçlarla oluşturulmuş bir Wi-Fi ağına bağlanıldığında, yalnızca güvenlik açığı bulunan işlevin çağrılması (ör. si.networkInterfaces()) gömülü komutun yürütülmesini tetikler.
“Sistem bilgisi”nin koruyucuları bu sorunu 5.23.7 sürümünde ele aldılar. Bu paketin tüm kullanıcılarının derhal en son sürüme güncelleme yapmaları şiddetle tavsiye edilir.
Yükseltme yapamayan geliştiriciler için geçici çözüm, belirli işlevlere iletilen parametrelerin manuel olarak temizlenmesini içerir. si.inetLatency(), si.inetChecksite(), si.services()Ve si.processLoad().
Bu güvenlik açığı, npm ekosisteminde devam eden güvenlik sorunlarını ve yaygın olarak kullanılan paketlerle ilişkili potansiyel riskleri vurgulamaktadır. Geliştiricilere aşağıdakileri hatırlatma görevi görür:
- Bağımlılıkları düzenli olarak güncelleyin ve güvenlik önerilerini izleyin
- Özellikle sistem düzeyindeki komutlarla uğraşırken, uygun giriş temizleme işlemini uygulayın
- Projelerinde kullanılan üçüncü taraf paketlerin kapsamlı güvenlik denetimlerini gerçekleştirin
“Sistem bilgileri” paketinde CVE-2024-56334’ün keşfi, özellikle yaygın olarak benimsenen açık kaynak kitaplıklar için yazılım güvenliğinde dikkatli olmanın kritik önemini vurgulamaktadır.
Node.js ekosistemi büyümeye devam ederken hem geliştiricilerin hem de kuruluşların güvenlik uygulamalarına öncelik vermesi ve sistemlerini etkileyebilecek potansiyel güvenlik açıkları hakkında bilgi sahibi olması büyük önem taşıyor.
ANY.RUN ile Gerçek Dünyadaki Kötü Amaçlı Bağlantıları, Kötü Amaçlı Yazılımları ve Kimlik Avı Saldırılarını Araştırın – Ücretsiz Deneyin