En kritisk Protobuf-sårbarhet eksponerer applikasjoner for JavaScript-kjøring gjennom et mye brukt bibliotek. Forskere identifiserte problemet i protobuf.js, som er vanlig i moderne web- og skymiljøer.
Sårbarheten gjør det mulig for angripere å injisere skadelig input som blir til kjørbar kode.
Usikker kodegenerering skaper risikoen
Protobuf-sårbarheten oppstår i hvordan protobuf.js genererer kode dynamisk. Biblioteket bygger JavaScript-funksjoner fra strenger og kjører dem ved hjelp av Function()-konstruktøren.
Det validerer ikke identifikatorer fra skjemadefinisjoner korrekt. Som et resultat kan angripere sette inn manipulert input som blir en del av den kjørte koden.
Når den er behandlet, kjøres nyttelasten i applikasjonsmiljøet og åpner for kompromittering.
Ondsinnede skjemaer muliggjør utnyttelse
Angripere kan utnytte problemet ved å levere en spesialutformet skjemafil. Når applikasjonen behandler denne filen, kjøres den ondsinnede koden automatisk.
Angrepet krever minimal interaksjon. Én behandlet melding kan utløse kjøring, noe som gjør problemet svært effektivt.
Konsekvensene kan inkludere tilgang til sensitiv data, miljøvariabler og interne systemer.
Utbredt bruk øker eksponeringen
Risikoen øker fordi protobuf.js er mye brukt på tvers av applikasjoner. Mange plattformer er avhengige av det for kommunikasjon mellom tjenester og sanntids databehandling.
Denne brede bruken øker sannsynligheten for at sårbare versjoner fortsatt er aktive i produksjonsmiljøer.
Oppdateringer er tilgjengelige, men forsiktighet er nødvendig
Protobuf-sårbarheten påvirker versjoner opp til 8.0.0 og 7.5.4. Utviklere bør oppgradere til oppdaterte versjoner 8.0.1 eller 7.5.5 uten forsinkelse.
Løsningen forbedrer valideringen ved å blokkere usikre tegn. Likevel fremhever problemet dypere bekymringer rundt dynamisk kodekjøring i kjernebiblioteker.
Selv uten bekreftede angrep finnes det allerede proof-of-concept-kode.
Konklusjon
Protobuf-sårbarheten viser hvordan en enkelt feil i en vanlig avhengighet kan skape alvorlige sikkerhetsrisikoer. Dynamisk kodegenerering forblir en risikabel praksis når den ikke kontrolleres strengt.
Utviklere bør oppdatere berørte systemer og gjennomgå hvordan applikasjoner håndterer eksterne skjemadata. Tidlig handling reduserer risikoen for utnyttelse og begrenser potensiell skade.
0 svar til “Protobuf-sårbarhet muliggjør JavaScript-kjøring”