Vulnérabilité RCE critique dans la bibliothèque protobuf.js
Failles critiques dans la bibliothèque Protocol Buffers largement utilisée
Un code d'exploitation de preuve de concept a été publié pour une vulnérabilité critique d'exécution de code à distance dans protobuf.js, une implémentation JavaScript des Protocol Buffers de Google avec près de 50 millions de téléchargements hebdomadaires sur npm.
Détails techniques de la vulnérabilité
La vulnérabilité (suivie sous GHSA-xq3m-2v4x-88gg) est causée par une génération de code dynamique non sécurisée. La bibliothèque construit des fonctions JavaScript à partir de schémas protobuf en concaténant des chaînes et en les exécutant via le constructeur Function(), mais ne valide pas les identifiants dérivés des schémas comme les noms de messages.
Cela permet à un attaquant de fournir un schéma malveillant qui injecte du code arbitraire dans la fonction générée, qui s'exécute lorsque l'application traite un message utilisant ce schéma.
Impact et versions affectées
- Affecte les versions 8.0.0/7.5.4 et inférieures de protobuf.js
- Permet une exécution de code à distance sur les serveurs ou applications chargeant des schémas influencés par un attaquant
- Peut donner accès aux variables d'environnement, identifiants, bases de données et systèmes internes
- Permet un mouvement latéral au sein de l'infrastructure
- Pourrait affecter les machines de développement chargeant localement des schémas non fiables
Correctifs et recommandations
Mettez à jour vers les versions corrigées :
- 8.0.1 pour la branche 8.x (publiée sur npm le 4 avril)
- 7.5.5 pour la branche 7.x (publiée sur npm le 15 avril)
Le correctif assainit les noms de types en supprimant les caractères non alphanumériques, empêchant les attaquants de fermer la fonction synthétique. Endor Labs note qu'une solution à plus long terme serait d'arrêter complètement de faire transiter les identifiants accessibles aux attaquants via Function.
Recommandations supplémentaires d'Endor Labs :
- Auditer les dépendances transitives
- Traiter le chargement de schémas comme une entrée non fiable
- Préférer les schémas précompilés/statiques en production
Chronologie et statut
- Vulnérabilité signalée par le chercheur d'Endor Labs Cristian Staicu le 2 mars
- Correctif publié sur GitHub le 11 mars
- Packages npm mis à jour en avril
- Aucune exploitation active observée à ce jour
- L'exploitation décrite comme "simple" avec un PoC minimal disponible
📖 Lire la source complète : HN AI Agents
👀 See Also
Cheval de Troie détecté dans les fichiers skill.md du dépôt Claude Flow.
Un dépôt GitHub contenant des fichiers de compétences Claude Flow a été trouvé contenant un cheval de Troie identifié comme JS/CrypoStealz.AE!MTB. Le malware s'est déclenché automatiquement lorsqu'un IDE basé sur l'IA a ouvert le dossier pour lire les fichiers markdown.
Vérificateur SBOM hors ligne pour OpenClaw détecte les compétences empoisonnées en moins de 0,2 secondes
Un développeur a créé un outil de vérification hors ligne des SBOM en Rust qui a détecté une compétence OpenClaw empoisonnée exfiltrant des clés SSH, la vérification s'achevant en moins de 0,2 seconde sans accès à Internet.
Sécurisation de l'Infrastructure OpenClaw avec le Proxy Sensible à l'Identité Pomerium
Utilisez Pomerium comme proxy conscient de l'identité pour une authentification zero-trust afin de sécuriser l'accès au serveur OpenClaw.
Axios 1.14.1 compromis par un logiciel malveillant, cible les flux de travail de développement assisté par IA
La version 1.14.1 d'Axios a été compromise dans une attaque de chaîne d'approvisionnement qui intègre silencieusement [email protected], un dropper de RAT (cheval de Troie d'accès à distance) obfusqué. Les développeurs utilisant des assistants de codage IA comme Claude doivent immédiatement vérifier leurs fichiers de verrouillage et leurs machines pour détecter une infection.