webcrack には、悪意のあるバンドルを解析および保存する際に Windows で任意のファイル書き込みの脆弱性が存在します

この脆弱性を悪用されると、攻撃者はwebcrackモジュールが実行されているWindowsシステム上の任意のファイルを上書きできます。これは、パストラバーサルシーケンス（例：../..）をモジュール名に含めることで実現可能です。攻撃者は、重要なシステムファイルや設定ファイルを改ざんし、システムの挙動を制御したり、機密情報を盗み出したりする可能性があります。この脆弱性は、特にwebcrackモジュールを組み込んだアプリケーションを使用している環境において、重大なセキュリティリスクをもたらします。類似の脆弱性は、ファイルアップロード機能の不備など、ファイルパスの検証が不十分な場合に発生することがあります。

Organizations and developers using the webcrack Node.js package in their applications, particularly those deploying on Windows systems, are at risk. This includes developers integrating webcrack into custom tools or applications, and those relying on webcrack within larger Node.js projects. Shared hosting environments where multiple users share the same server are also at increased risk if one user's application is compromised.

• nodejs / server:

find / -name "webcrack" -type d -print0 | xargs -0 ls -l

• nodejs / server:

ps aux | grep webcrack

• generic web: Inspect web server access logs for requests containing suspicious file paths or path traversal sequences (e.g., ../). • generic web: Review web application code for any instances where user-supplied input is used to construct file paths without proper sanitization.

1. 2024-08-14Disclosure

   disclosure

1. 予約済み2024-08-09
2. 公開日2024-08-14
3. 更新日2024-11-18
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、webcrackモジュールをバージョン2.14.1以降にアップデートすることです。アップデートが利用できない場合は、一時的な回避策として、webcrackモジュールがアクセスできるファイルパスを制限するファイアウォールルールやプロキシ設定を導入することを検討してください。また、入力値の検証を強化し、パストラバーサル攻撃を防ぐためのセキュリティ対策を講じることが重要です。webcrackモジュールのログを監視し、異常なファイルアクセスを検知することも有効です。