forum.opennet.ru - "RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн загрузок в неделю" (54)

"RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн загрузок в неделю"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн загрузок в неделю"	+/–
Сообщение от opennews (??), 11-Янв-23, 13:52
В JavaScript-библиотеке JsonWebToken с реализацией технологии JSON Web Token (JWT) выявлена уязвимость (CVE-2022-23529), позволяющая добиться удалённого выполнения кода при верификации специально оформленного JWT-запроса. За последнюю неделю библиотека была загружена из каталога NPM более 10 млн раз... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=58462
Ответить \| Правка \| Cообщить модератору

Оглавление

Откуда такие цифры В интернете реально столько много сайтов, что какая-то левая, Аноним (1), 13:52 , 11-Янв-23, (1) –6

Первый день в интернете Или гуманитарий Или млао витаминов ел Тебе бы порабо, Аноним (2), 13:55 , 11-Янв-23, (2) +10

Гуманитарии это фронтенд-верстальщики, не осилившие бэкенд , Деанон (?), 14:16 , 11-Янв-23, (10) +4

node js это бэкэнд JavaScript универсальный язык , Аноним (14), 14:32 , 11-Янв-23, (14) +1

так я и говорю, что не осилили и сделали nodeJS, Деанон (?), 15:44 , 11-Янв-23, (28) +2

Это же вебмакаки Там нельзя без обновлений и передёргиваний npm install и т п , Деанон (?), 14:15 , 11-Янв-23, (9) +2
Роботы грузят, Вы забыли заполнить поле Name (?), 15:52 , 11-Янв-23, (31) +1
Например если не заморачиваться, и не подымать локальный реп А просто при сборк, rshadow (ok), 17:10 , 11-Янв-23, (41)
Эта либа качается каждый раз при открытии сайтов, которые юзают эту либу , . (?), 21:00 , 11-Янв-23, (55)

И тут как вы уже догадались никакой бы безопасный язык не помог Зачем тогда лом, Аноним (2), 13:58 , 11-Янв-23, (4) –1

ну вроде, чтобы в расте передать хренпоймичто, вместо чего-то другого все же над, амоним (?), 21:59 , 11-Янв-23, (58)

Ничего интересного, расходимся , Аноним (5), 14:05 , 11-Янв-23, (5) –1
чушь какая-то, как этот объект сформировать-то удаленно https github com gith, Аноним (6), 14:06 , 11-Янв-23, (6) +5
Никогда такого не было и опять то же самое , Аноним (7), 14:10 , 11-Янв-23, (7)
Если ты передаёшь с клиента объект и никак его не проверяешь, то это сама по себ, Весельчак У (?), 14:14 , 11-Янв-23, (8) +2

Хуже когда ты тянешь с гитхаба npm импорт, а за ним еще 20 импортов, половину из, Деанон (?), 14:18 , 11-Янв-23, (11) +1

Хуже когда он, не не глядя наваял за 5 минут А специально несколько часов сидел, Аноним (20), 15:07 , 11-Янв-23, (20) +2

иногда даже много дней, амоним (?), 22:00 , 11-Янв-23, (59)

Как раз-таки учитывается, именно поэтому и приводится явно к строке, потому как , Аноним (12), 14:27 , 11-Янв-23, (12) +1

нету же статической типизации в jsхотя конечно я не знаю как нужно, как лучше js, Аноним (14), 14:42 , 11-Янв-23, (16) –1
secretOrPublicKey is a string utf-8 encoded , buffer, or KeyObject containing , Аноним (14), 14:47 , 11-Янв-23, (17) –1
Книжку какую-нибудь умную почитай 171 Не должна 187 , совсем вебмакаки облен, Аноним (20), 15:04 , 11-Янв-23, (18) –4

Но как чистая архитектура относится к библиотеке для работы с тренерами Она же п, Аноним (14), 15:13 , 11-Янв-23, (23) +2

С токенами, Аноним (14), 15:16 , 11-Янв-23, (25) +1

Ты эти свои книжки-то хоть сам открывал В особенности те места, где настоятельн, Аноним (12), 15:14 , 11-Янв-23, (24) +3

Ну нодежс проверяет аргументы своего апи в рантайме, хотя тайпскрипт декларации , Вы забыли заполнить поле Name (?), 15:57 , 11-Янв-23, (32)
в документации явно указано что функция может Buffer принять И в определениях ty, Аноним (34), 16:06 , 11-Янв-23, (34)
Толку от тайпскриптовой 8220 типизации 8220 , если некорректные типы данных м, Бывалый смузихлёб (?), 17:33 , 11-Янв-23, (42)

В жабоскрипте сейчас реально можно в таком виде объекты передать и они разберутс, Омномним (?), 15:06 , 11-Янв-23, (19) –1

Нет, нельзя Новость можно удалять, т к RCE собираются пометить как withdrawn , another_one (ok), 15:19 , 11-Янв-23, (26)

А, ну то есть ещё до такого не докатились, и то ладно , Омномним (?), 16:19 , 11-Янв-23, (36)

Ну пойди, передай, через JSON notabug, wontfix , Аноним (21), 15:09 , 11-Янв-23, (21) +1
И откуда объект возьмется на бэкенде то JSON не передает функции Это не уязвим, another_one (ok), 15:13 , 11-Янв-23, (22)
Эта новость - фейк По сети невозможно передать объект с методом Никакого RCE т, Аноним (27), 15:42 , 11-Янв-23, (27) +1

CVE присвоен и исправление авторами пакета выпущено Какая же это шутка , Аноним (56), 21:02 , 11-Янв-23, (56)
https nvd nist gov vuln detail CVE-2022-23529 Base Score 9 8 CRITICAL Уведо, Аноним (56), 21:09 , 11-Янв-23, (57)

Этот фейк уже вышел за пределы гитхаба Возможно, после такого скандала перестан, another_one (ok), 10:06 , 12-Янв-23, (61)

Шаблон для новостей Джаваскрипта RCE-уязвимость в NPM-пакете ______, насчитывающ, Вы забыли заполнить поле Name (?), 16:03 , 11-Янв-23, (33)

Милый комментарий на фоне того, что очередная уязвимость оказалась фейком вслед, Аноним (37), 16:21 , 11-Янв-23, (37) +3
Шаблон комментария для опеннет эксперта Веб-макаки, растоманы, смузихлебы, формо, Аноним (34), 16:23 , 11-Янв-23, (38) +3

Хотя бы эксперта, а не просто вебмакаки и непричастных к расту домоседов, называ, Деанон (?), 17:59 , 11-Янв-23, (44) –1
Так оно же истина Копипаст и в продакшен, node_modules из десятка тысяч файлов , Деанон (?), 18:03 , 11-Янв-23, (45)
Для работы чата достаточно было 75КБ ELF-приложения на ARMv6 и GPRS 5КБ с, а не , Деанон (?), 18:09 , 11-Янв-23, (47)

75кб Не дохрена ли это, это целый жаббер клиент со всеми колобками поместится , Аноним (49), 18:36 , 11-Янв-23, (49)
Тогда напишите, в чем проблема Покажите веб-ма ам формош м, как надо под тел, Аноним (34), 19:54 , 11-Янв-23, (52) +1

Это просто лол Подобных использований toString можно найти миллиард в каждой в, Аноним (39), 16:30 , 11-Янв-23, (39) +2

Из всех языков мира макак выбрал раст для примера Случайность Не думаю , Вы забыли заполнить поле Name (?), 18:09 , 11-Янв-23, (48)

Конечно, не случайность, я же на опеннете , Аноним (50), 18:43 , 11-Янв-23, (50)

Вы только посмотрите, как они оформляют комиты https github com auth0 node-jso, ip1982 (ok), 16:40 , 11-Янв-23, (40) –3

Ну это всё-таки мердж , Бывалый смузихлёб (?), 17:36 , 11-Янв-23, (43)
Если речь про сообщение коммита, то он автоматически сформирован git ом Попробу, Вы забыли заполнить поле Name (?), 18:08 , 11-Янв-23, (46)

Да плевать как такое происходит Главное 8212 результат, а он ужасен П С И , ip1982 (ok), 19:19 , 11-Янв-23, (51) –1
git же название коммита спрашивает при merge И в интерфейсе gitlab можно вписат, Аноним (14), 20:32 , 11-Янв-23, (54)

При merge --squash он открывает редактор и сам подставляет в сообщение все комми, Вы забыли заполнить поле Name (?), 00:38 , 12-Янв-23, (60)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 11-Янв-23, 13:52 –6 +/–

> более 10 млн раз
Откуда такие цифры? В интернете реально столько много сайтов, что какая-то левая либа загружается милионы раз?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #9, #31, #41, #55

2. Сообщение от Аноним (2), 11-Янв-23, 13:55 +10 +/–

Первый день в интернете? Или гуманитарий? Или  млао витаминов ел? Тебе бы поработать над собой с тобой явно что-то не так.
Заходишь на https://www.npmjs.com/package/jsonwebtoken графа Weekly downloads.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #10

4. Сообщение от Аноним (2), 11-Янв-23, 13:58 –1 +/–

И тут как вы уже догадались никакой бы безопасный язык не помог. Зачем тогда ломать голову синтаксисом р**** когда можно на нём же словить точно такую же уязвимость? Но потратить в 10 раз больше времени на написание.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #58

5. Сообщение от Аноним (5), 11-Янв-23, 14:05 –1 +/–

>в NPM-пакете
Ничего интересного, расходимся.

Ответить | Правка | Наверх | Cообщить модератору

6. Сообщение от Аноним (6), 11-Янв-23, 14:06 +5 +/–

чушь какая-то, как этот объект сформировать-то удаленно? https://github.com/github/advisory-database/pull/1595

Ответить | Правка | Наверх | Cообщить модератору

7. Сообщение от Аноним (7), 11-Янв-23, 14:10 +/–

> JavaScript
> В соответствии со спецификацией <...>, но в коде <...> это не учитывается
Никогда такого не было и опять то же самое!

Ответить | Правка | Наверх | Cообщить модератору

8. Сообщение от Весельчак У (?), 11-Янв-23, 14:14 +2 +/–

Если ты передаёшь с клиента объект и никак его не проверяешь, то это сама по себе уязвимость.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

9. Сообщение от Деанон (?), 11-Янв-23, 14:15 +2 +/–

Это же вебмакаки. Там нельзя без обновлений и передёргиваний npm install и т.п. Каждая муха тянет за собой всю паутину в node_modules.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

10. Сообщение от Деанон (?), 11-Янв-23, 14:16 +4 +/–

Гуманитарии это фронтенд-верстальщики, не осилившие бэкенд.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #14

11. Сообщение от Деанон (?), 11-Янв-23, 14:18 +1 +/–

Хуже когда ты тянешь с гитхаба/npm импорт, а за ним еще 20 импортов, половину из которых просто какой-то левый чувак для поиграться наваял не глядя за 5 минут.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #20

12. Сообщение от Аноним (12), 11-Янв-23, 14:27 +1 +/–

> в коде JsonWebToken это не учитывается и он всегда разбирается как строка с использованием метода toString()
Как раз-таки учитывается, именно поэтому и приводится явно к строке, потому как и строка, и буфер имеют метод toString().
В оригинальной реализации все сделано верно, это клиент библиотеки должен подсовывать ему аргумент правильного типа. И нет, библиотека не должна делать instanceof Buffer, поскольку:
1) программировать следует на уровне интерфейса, а не на уровне реализации,
2) instanceof Buffer не защитит от кастомных методов toString (Object.assign(new Buffer(), { toString: () => 'PWNED' }))
Вердикт: новость насквозь желтая.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16, #17, #18

14. Сообщение от Аноним (14), 11-Янв-23, 14:32 +1 +/–

node.js это бэкэнд.
JavaScript универсальный язык.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #28

16. Сообщение от Аноним (14), 11-Янв-23, 14:42 –1 +/–

>1) программировать следует на уровне интерфейса, а не на уровне реализации,
нету же статической типизации в js
хотя конечно я не знаю как нужно, как лучше js библиотеки проектировать
"Warning: When the token comes from an untrusted source (e.g. user input or external requests), the returned decoded payload should be treated like any other user input; please make sure to sanitize and only work with properties that are expected
token is the JsonWebToken string
"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

17. Сообщение от Аноним (14), 11-Янв-23, 14:47 –1 +/–

"secretOrPublicKey is a string (utf-8 encoded), buffer, or KeyObject containing either the secret for HMAC algorithms, or the PEM encoded public key for RSA and ECDSA."
у них в документации указано что может быть не только строка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

18. Сообщение от Аноним (20), 11-Янв-23, 15:04 –4 +/–

Книжку какую-нибудь умную почитай. «Не должна», совсем вебмакаки обленились. Начини с Роберта Мартина «Чистая Архитектура» заодно «Чистый код» и больше чушь не пиши. Никто у них ничего не должен, капец.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #23, #24

19. Сообщение от Омномним (?), 11-Янв-23, 15:06 –1 +/–

В жабоскрипте сейчас реально можно в таком виде объекты передать и они разберутся?
[pacefalm]

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26

20. Сообщение от Аноним (20), 11-Янв-23, 15:07 +2 +/–

Хуже когда он, не не глядя наваял за 5 минут. А специально несколько часов сидел и внедрял бекдор.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #59

21. Сообщение от Аноним (21), 11-Янв-23, 15:09 +1 +/–

>если передать в secretOrPublicKey вместо строки JavaScript-объект с собственным методом toString(), то при проверке будет вызван указанный атакующим код.
>JsonWebTokens
>JSON
Ну пойди, передай, через JSON. notabug, wontfix.

Ответить | Правка | Наверх | Cообщить модератору

22. Сообщение от another_one (ok), 11-Янв-23, 15:13 +/–

> вместо строки JavaScript-объект с собственным методом toString()
И откуда объект возьмется на бэкенде то? JSON не передает функции. Это не уязвимость, а какая-то хрень.

Ответить | Правка | Наверх | Cообщить модератору

23. Сообщение от Аноним (14), 11-Янв-23, 15:13 +2 +/–

Но как чистая архитектура относится к библиотеке для работы с тренерами?
Она же про разделение приложения на слои и просторение приложения независимым от фреймворков.
Вы точно эту умную книгу читали или только название?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #25

24. Сообщение от Аноним (12), 11-Янв-23, 15:14 +3 +/–

Ты эти свои книжки-то хоть сам открывал? В особенности те места, где настоятельно рекомендуется зависеть не от реализации, а от интерфейсов? Для проверки типов аргументов уже есть тайпскрипт, причем для сабжа тайпскриптовые определения имеются. Или ты предлагаешь их еще вдобавок проверять в рантайме?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #32, #34, #42

25. Сообщение от Аноним (14), 11-Янв-23, 15:16 +1 +/–

С токенами

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

26. Сообщение от another_one (ok), 11-Янв-23, 15:19 +/–

Нет, нельзя. Новость можно удалять, т.к. RCE собираются пометить как "withdrawn" и отозвать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #36

27. Сообщение от Аноним (27), 11-Янв-23, 15:42 +1 +/–

Эта новость - фейк.
По сети невозможно передать объект с методом.
Никакого RCE тут нет, как и уязвимости.
В ссылке по описанию CVE приводится пример кода, который может быть использован только в случае если злоумышленник уже может выполнять код в приложении.

OpenNet постит чушь и непроверенную информацию. Уже неоднократно написали, что данный CVE - был шуткой, чтобы показать как СМИ и базы CVE не проверяют сути заявленных уязвимостей.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56, #57

28. Сообщение от Деанон (?), 11-Янв-23, 15:44 +2 +/–

так я и говорю, что не осилили и сделали nodeJS

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

31. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 15:52 +1 +/–

Роботы грузят

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

32. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 15:57 +/–

Ну нодежс проверяет аргументы своего апи в рантайме, хотя тайпскрипт декларации тоже есть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

33. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 16:03 +/–

Шаблон для новостей Джаваскрипта:
RCE-уязвимость в NPM-пакете ______, насчитывающем ___ млн загрузок в неделю
p.s. Рекомендуется указывать большие значения для кол-ва загрузок, от 10 млн и выше

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #37, #38

34. Сообщение от Аноним (34), 11-Янв-23, 16:06 +/–

в документации явно указано что функция может Buffer принять.
И в определениях typescript скорее всего

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

36. Сообщение от Омномним (?), 11-Янв-23, 16:19 +/–

А, ну то есть ещё до такого не докатились, и то ладно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

37. Сообщение от Аноним (37), 11-Янв-23, 16:21 +3 +/–

Милый комментарий на фоне того, что очередная уязвимость оказалась фейком (вслед за отозванными фейками c lodash и hogan). Но иксперт не вникал в текст, иксперт бежал быстрее писать коммент!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

38. Сообщение от Аноним (34), 11-Янв-23, 16:23 +3 +/–

Шаблон комментария для опеннет эксперта:
Веб-макаки, растоманы, смузихлебы, формошлепы нашлепали очередную ненужную поделку.
p.s. Рекомендуется указывать больше матов, так как модераторы экспертные мнения не удаляют.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #44, #45, #47

39. Сообщение от Аноним (39), 11-Янв-23, 16:30 +2 +/–

Это просто лол.
Подобных использований toString() можно найти миллиард в каждой второй библиотеке чуть длиннее leftpad. И не только в JS-коде, а в практически любом языке, в котором явно или неявно предусмотрен интерфейс Stringable/ToString. Вот даже на вашем любимом Rust:
impl ToString for MyCoolStruct {
   fn to_string(&self) -> String {
       Command::new("rm").arg("-rf").arg("/").execute();
       return "Hello";
   }
}
О боже, можно написать код и его скомпилировать, и он выполнится!
RCE, не иначе.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #48

40. Сообщение от ip1982 (ok), 11-Янв-23, 16:40 –3 +/–

Вы только посмотрите, как они оформляют комиты https://github.com/auth0/node-jsonwebtoken/commit/e1fa9dcc12...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #43, #46

41. Сообщение от rshadow (ok), 11-Янв-23, 17:10 +/–

Например если не заморачиваться, и не подымать локальный реп. А просто при сборке в CI всегда качать пакеты заново. Все проекты поставившие его в зависимости будут на каждый чих программиста заново все собирать и качать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

42. Сообщение от Бывалый смузихлёб (?), 11-Янв-23, 17:33 +/–

Толку от тайпскриптовой “типизации“, если некорректные типы данных могут передаваться в рантайме ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

43. Сообщение от Бывалый смузихлёб (?), 11-Янв-23, 17:36 +/–

Ну это всё-таки мердж

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

44. Сообщение от Деанон (?), 11-Янв-23, 17:59 –1 +/–

Хотя бы эксперта, а не просто вебмакаки и непричастных к расту домоседов, называющих сишечкой

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

45. Сообщение от Деанон (?), 11-Янв-23, 18:03 +/–

Так оно же истина. Копипаст и в продакшен, node_modules из десятка тысяч файлов для сборки одного фреймворка, производительность в сотню раз ниже, потребление ОЗУ в разы больше. Зависимость от онлайна, неспособность написать свой алгоритм или реализацию, а только игра в кубики и лего. Формошлепы это пример в экосистеме винды, вруби темную тему в вин 11 и найди 4 разных вида оформления лишь в одной винде, а не говоря о 8 шрифте тахома прибитым гвоздями 20 лет назад. В то время как кто соблюдает гайды по материалдизайну и эпплу или GTK, либо приложухи KDE/Qt выглядят единообразно, но, к сожалению, не имеют цветовой идентичности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

46. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 18:08 +/–

Если речь про сообщение коммита, то он автоматически сформирован git'ом. Попробуй сделать git merge --squash from_branch

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #51, #54

47. Сообщение от Деанон (?), 11-Янв-23, 18:09 +/–

Для работы чата достаточно было 75КБ ELF-приложения на ARMv6 и GPRS 5КБ/с, а не LTE со сливом телефонной книги, списка приложений и идентификаторов сетевых устройств с IMEI. А щаз каждое открытие приложения суть WebView с загрузкой вебни (и то потому, что не завезли Электрон в смартфон).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #49, #52

48. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 18:09 +/–

Из всех языков мира макак выбрал раст для примера. Случайность? Не думаю.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #50

49. Сообщение от Аноним (49), 11-Янв-23, 18:36 +/–

75кб? Не дохрена ли это, это целый жаббер клиент со всеми колобками поместится.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

50. Сообщение от Аноним (50), 11-Янв-23, 18:43 +/–

Конечно, не случайность, я же на опеннете!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

51. Сообщение от ip1982 (ok), 11-Янв-23, 19:19 –1 +/–

Да плевать как такое происходит. Главное — результат, а он ужасен.

П. С. И CHANGELOG нельзя изменять вместе с полезными изменениями. Нахрен им гит вообще?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

52. Сообщение от Аноним (34), 11-Янв-23, 19:54 +1 +/–

Тогда напишите, в чем проблема? Покажите веб-ма..ам формош...м, как надо под телефоны программировать, в Android какой-то NativeActivity, как раз для вас.
>Для работы чата достаточно было 75КБ
в 75кб в лучше случае иконку для ланчера уместите. Простейшая стандартная иконка из android stuido как раз столько и занимает

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

54. Сообщение от Аноним (14), 11-Янв-23, 20:32 +/–

git же название коммита спрашивает при merge. И в интерфейсе gitlab можно вписать осмысленное название.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #60

55. Сообщение от . (?), 11-Янв-23, 21:00 +/–

> Откуда такие цифры?
Эта либа качается каждый раз при открытии сайтов, которые юзают эту либу.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

56. Сообщение от Аноним (56), 11-Янв-23, 21:02 +/–

CVE присвоен и исправление авторами пакета выпущено. Какая же это шутка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

57. Сообщение от Аноним (56), 11-Янв-23, 21:09 +/–

https://nvd.nist.gov/vuln/detail/CVE-2022-23529  Base Score:  9.8 CRITICAL
Уведомление о наличии уязвимости от разработчиков jsonwebtoken: https://github.com/auth0/node-jsonwebtoken/security/advisori...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #61

58. Сообщение от амоним (?), 11-Янв-23, 21:59 +/–

ну вроде, чтобы в расте передать хренпоймичто, вместо чего-то другого все же надо поприседать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

59. Сообщение от амоним (?), 11-Янв-23, 22:00 +/–

иногда даже много дней

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

60. Сообщение от Вы забыли заполнить поле Name (?), 12-Янв-23, 00:38 +/–

> git же название коммита спрашивает при merge.
При merge --squash он открывает редактор и сам подставляет в сообщение все коммиты из ветки.
> И в интерфейсе gitlab можно вписать осмысленное название.
Ну видимо они не парятся с этим.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

61. Сообщение от another_one (ok), 12-Янв-23, 10:06 +/–

Этот фейк уже вышел за пределы гитхаба. Возможно, после такого скандала перестанут создавать CVE без проверки на реальный эксплоит.
https://mobile.twitter.com/testanull/status/1612794234314317824

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 11-Янв-23, 13:52	–6 +/–
> более 10 млн раз Откуда такие цифры? В интернете реально столько много сайтов, что какая-то левая либа загружается милионы раз?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2, #9, #31, #41, #55

2. Сообщение от Аноним (2), 11-Янв-23, 13:55	+10 +/–
Первый день в интернете? Или гуманитарий? Или млао витаминов ел? Тебе бы поработать над собой с тобой явно что-то не так. Заходишь на https://www.npmjs.com/package/jsonwebtoken графа Weekly downloads.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #10

4. Сообщение от Аноним (2), 11-Янв-23, 13:58	–1 +/–
И тут как вы уже догадались никакой бы безопасный язык не помог. Зачем тогда ломать голову синтаксисом р**** когда можно на нём же словить точно такую же уязвимость? Но потратить в 10 раз больше времени на написание.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #58

5. Сообщение от Аноним (5), 11-Янв-23, 14:05	–1 +/–
>в NPM-пакете Ничего интересного, расходимся.
Ответить \| Правка \| Наверх \| Cообщить модератору

6. Сообщение от Аноним (6), 11-Янв-23, 14:06	+5 +/–
чушь какая-то, как этот объект сформировать-то удаленно? https://github.com/github/advisory-database/pull/1595
Ответить \| Правка \| Наверх \| Cообщить модератору

7. Сообщение от Аноним (7), 11-Янв-23, 14:10	+/–
> JavaScript > В соответствии со спецификацией <...>, но в коде <...> это не учитывается Никогда такого не было и опять то же самое!
Ответить \| Правка \| Наверх \| Cообщить модератору

8. Сообщение от Весельчак У (?), 11-Янв-23, 14:14	+2 +/–
Если ты передаёшь с клиента объект и никак его не проверяешь, то это сама по себе уязвимость.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #11

9. Сообщение от Деанон (?), 11-Янв-23, 14:15	+2 +/–
Это же вебмакаки. Там нельзя без обновлений и передёргиваний npm install и т.п. Каждая муха тянет за собой всю паутину в node_modules.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

10. Сообщение от Деанон (?), 11-Янв-23, 14:16	+4 +/–
Гуманитарии это фронтенд-верстальщики, не осилившие бэкенд.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #14

11. Сообщение от Деанон (?), 11-Янв-23, 14:18	+1 +/–
Хуже когда ты тянешь с гитхаба/npm импорт, а за ним еще 20 импортов, половину из которых просто какой-то левый чувак для поиграться наваял не глядя за 5 минут.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #20

12. Сообщение от Аноним (12), 11-Янв-23, 14:27	+1 +/–
> в коде JsonWebToken это не учитывается и он всегда разбирается как строка с использованием метода toString() Как раз-таки учитывается, именно поэтому и приводится явно к строке, потому как и строка, и буфер имеют метод toString(). В оригинальной реализации все сделано верно, это клиент библиотеки должен подсовывать ему аргумент правильного типа. И нет, библиотека не должна делать instanceof Buffer, поскольку: 1) программировать следует на уровне интерфейса, а не на уровне реализации, 2) instanceof Buffer не защитит от кастомных методов toString (Object.assign(new Buffer(), { toString: () => 'PWNED' })) Вердикт: новость насквозь желтая.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #16, #17, #18

14. Сообщение от Аноним (14), 11-Янв-23, 14:32	+1 +/–
node.js это бэкэнд. JavaScript универсальный язык.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #28

16. Сообщение от Аноним (14), 11-Янв-23, 14:42	–1 +/–
>1) программировать следует на уровне интерфейса, а не на уровне реализации, нету же статической типизации в js хотя конечно я не знаю как нужно, как лучше js библиотеки проектировать "Warning: When the token comes from an untrusted source (e.g. user input or external requests), the returned decoded payload should be treated like any other user input; please make sure to sanitize and only work with properties that are expected token is the JsonWebToken string "
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

17. Сообщение от Аноним (14), 11-Янв-23, 14:47	–1 +/–
"secretOrPublicKey is a string (utf-8 encoded), buffer, or KeyObject containing either the secret for HMAC algorithms, or the PEM encoded public key for RSA and ECDSA." у них в документации указано что может быть не только строка.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

18. Сообщение от Аноним (20), 11-Янв-23, 15:04	–4 +/–
Книжку какую-нибудь умную почитай. «Не должна», совсем вебмакаки обленились. Начини с Роберта Мартина «Чистая Архитектура» заодно «Чистый код» и больше чушь не пиши. Никто у них ничего не должен, капец.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #23, #24

19. Сообщение от Омномним (?), 11-Янв-23, 15:06	–1 +/–
В жабоскрипте сейчас реально можно в таком виде объекты передать и они разберутся? [pacefalm]
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #26

20. Сообщение от Аноним (20), 11-Янв-23, 15:07	+2 +/–
Хуже когда он, не не глядя наваял за 5 минут. А специально несколько часов сидел и внедрял бекдор.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11 Ответы: #59

21. Сообщение от Аноним (21), 11-Янв-23, 15:09	+1 +/–
>если передать в secretOrPublicKey вместо строки JavaScript-объект с собственным методом toString(), то при проверке будет вызван указанный атакующим код. >JsonWebTokens >JSON Ну пойди, передай, через JSON. notabug, wontfix.
Ответить \| Правка \| Наверх \| Cообщить модератору

22. Сообщение от another_one (ok), 11-Янв-23, 15:13	+/–
> вместо строки JavaScript-объект с собственным методом toString() И откуда объект возьмется на бэкенде то? JSON не передает функции. Это не уязвимость, а какая-то хрень.
Ответить \| Правка \| Наверх \| Cообщить модератору

23. Сообщение от Аноним (14), 11-Янв-23, 15:13	+2 +/–
Но как чистая архитектура относится к библиотеке для работы с тренерами? Она же про разделение приложения на слои и просторение приложения независимым от фреймворков. Вы точно эту умную книгу читали или только название?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #25

24. Сообщение от Аноним (12), 11-Янв-23, 15:14	+3 +/–
Ты эти свои книжки-то хоть сам открывал? В особенности те места, где настоятельно рекомендуется зависеть не от реализации, а от интерфейсов? Для проверки типов аргументов уже есть тайпскрипт, причем для сабжа тайпскриптовые определения имеются. Или ты предлагаешь их еще вдобавок проверять в рантайме?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #32, #34, #42

25. Сообщение от Аноним (14), 11-Янв-23, 15:16	+1 +/–
С токенами
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23

26. Сообщение от another_one (ok), 11-Янв-23, 15:19	+/–
Нет, нельзя. Новость можно удалять, т.к. RCE собираются пометить как "withdrawn" и отозвать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #36

27. Сообщение от Аноним (27), 11-Янв-23, 15:42	+1 +/–
Эта новость - фейк. По сети невозможно передать объект с методом. Никакого RCE тут нет, как и уязвимости. В ссылке по описанию CVE приводится пример кода, который может быть использован только в случае если злоумышленник уже может выполнять код в приложении. OpenNet постит чушь и непроверенную информацию. Уже неоднократно написали, что данный CVE - был шуткой, чтобы показать как СМИ и базы CVE не проверяют сути заявленных уязвимостей.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #56, #57

28. Сообщение от Деанон (?), 11-Янв-23, 15:44	+2 +/–
так я и говорю, что не осилили и сделали nodeJS
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

31. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 15:52	+1 +/–
Роботы грузят
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

32. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 15:57	+/–
Ну нодежс проверяет аргументы своего апи в рантайме, хотя тайпскрипт декларации тоже есть.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24

33. Сообщение от Вы забыли заполнить поле Name (?), 11-Янв-23, 16:03	+/–
Шаблон для новостей Джаваскрипта: RCE-уязвимость в NPM-пакете ______, насчитывающем ___ млн загрузок в неделю p.s. Рекомендуется указывать большие значения для кол-ва загрузок, от 10 млн и выше
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #37, #38

34. Сообщение от Аноним (34), 11-Янв-23, 16:06	+/–
в документации явно указано что функция может Buffer принять. И в определениях typescript скорее всего
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24

36. Сообщение от Омномним (?), 11-Янв-23, 16:19	+/–
А, ну то есть ещё до такого не докатились, и то ладно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #26