npm CLI 安全缝隙风险公告

颁布功夫 2019-12-16

缝隙编号和级别


CVE编号： CVE-2019-16776，危险级别：高危，CVSS分值：官方未评定


影响版本


npm CLI <= 6.13.3


缝隙概述


npm CLI是一款软件包治理器。


Npm 开发人员暗示，npm 号令行界面（CLI）客户端受到了安全缝隙的影响，同时蕴含文件遍历和肆意文件（覆盖）写入问题。攻击者能够利用该谬误来植入恶意二进造文件或覆盖用户推算机上的文件。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：

https://github.com/npm/cli/security/advisories/GHSA-x8qc-rrcw-4r46


参考链接


https://www.zdnet.com/article/npm-team-warns-of-new-binary-planting-bug/