Vulnérabilité RCE critique dans la bibliothèque protobuf.js

Failles critiques dans la bibliothèque Protocol Buffers largement utilisée

Un code d'exploitation de preuve de concept a été publié pour une vulnérabilité critique d'exécution de code à distance dans protobuf.js, une implémentation JavaScript des Protocol Buffers de Google avec près de 50 millions de téléchargements hebdomadaires sur npm.

Détails techniques de la vulnérabilité

La vulnérabilité (suivie sous GHSA-xq3m-2v4x-88gg) est causée par une génération de code dynamique non sécurisée. La bibliothèque construit des fonctions JavaScript à partir de schémas protobuf en concaténant des chaînes et en les exécutant via le constructeur Function(), mais ne valide pas les identifiants dérivés des schémas comme les noms de messages.

Cela permet à un attaquant de fournir un schéma malveillant qui injecte du code arbitraire dans la fonction générée, qui s'exécute lorsque l'application traite un message utilisant ce schéma.

Impact et versions affectées

• Affecte les versions 8.0.0/7.5.4 et inférieures de protobuf.js
• Permet une exécution de code à distance sur les serveurs ou applications chargeant des schémas influencés par un attaquant
• Peut donner accès aux variables d'environnement, identifiants, bases de données et systèmes internes
• Permet un mouvement latéral au sein de l'infrastructure
• Pourrait affecter les machines de développement chargeant localement des schémas non fiables

Correctifs et recommandations

Mettez à jour vers les versions corrigées :

• 8.0.1 pour la branche 8.x (publiée sur npm le 4 avril)
• 7.5.5 pour la branche 7.x (publiée sur npm le 15 avril)

Le correctif assainit les noms de types en supprimant les caractères non alphanumériques, empêchant les attaquants de fermer la fonction synthétique. Endor Labs note qu'une solution à plus long terme serait d'arrêter complètement de faire transiter les identifiants accessibles aux attaquants via Function.

Recommandations supplémentaires d'Endor Labs :

• Auditer les dépendances transitives
• Traiter le chargement de schémas comme une entrée non fiable
• Préférer les schémas précompilés/statiques en production

Chronologie et statut

• Vulnérabilité signalée par le chercheur d'Endor Labs Cristian Staicu le 2 mars
• Correctif publié sur GitHub le 11 mars
• Packages npm mis à jour en avril
• Aucune exploitation active observée à ce jour
• L'exploitation décrite comme "simple" avec un PoC minimal disponible