CVE-2018-7408

WysokieCVSS 7.8

Opublikowano: 22/02/2018(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Streszczenie

W wersji przedpremierowej npm 5.7.0 z 2018-02-21 (oznaczonej jako "next: 5.7.0", automatycznie instalowanej przez polecenie "npm upgrade -g npm" i ogłoszonej na blogu dostawcy bez informacji o statusie przedpremierowym) wykryto problem. Może on pozwolić lokalnym użytkownikom na obejście zamierzonych ograniczeń dostępu do systemu plików, ponieważ właściciele katalogów /etc i /usr są nieoczekiwanie zmieniani — związane z problemem "correctMkdir".

Ocena ryzyka

Może pozwolić lokalnym użytkownikom na obejście ograniczeń dostępu do systemu plików poprzez nieoczekiwaną zmianę właściciela katalogów /etc i /usr.

Rekomendacja

Zaktualizuj npm do stabilnej wersji zawierającej poprawkę i unikaj instalowania wersji przedpremierowych.

Inne podatności w npm

CVE-2013-4116Niskie
lib/npm.js w Node Packaged Modules (npm) przed wersją 1.3.3 pozwala lokalnym użytkownikom nadpisywać dowolne pliki poprzez atak symlink na plikach tymczasowych o przewidywalnych nazwach tworzonych podczas rozpakowywania archiwów.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in an npm 5.7.0 2018-02-21 pre-release (marked as "next: 5.7.0" and therefore automatically installed by an "npm upgrade -g npm" command, and also announced in the vendor's blog without mention of pre-release status). It might allow local users to bypass intended filesystem access restrictions because ownerships of /etc and /usr directories are being changed unexpectedly, related to a "correctMkdir" issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS