Request: हुक पैकेज में भेद्यता

मैंने आज पहले v7.0.7 को हॉक करने की कोशिश की, लेकिन परीक्षण टूट गया। मुझे कुछ और करने के लिए कूदना पड़ा, लेकिन मुझे परीक्षण चलाने का यह तेज़ तरीका केवल उतना ही मिला:

npx taper tests/test-hawk.js

जहां तक ​​मैं इसे समझता हूं, मुद्दा एक cve के साथ है, https://nvd.nist.gov/vuln/detail/CVE-2018-3728 , hoek < v5.0.3 के संबंध में; request v2.85.1 के लिए hawk ~6.0.2 की आवश्यकता होती है, जिसके लिए hoek 4.x.x की आवश्यकता होती है। request को नोड 4 के साथ संगतता बनाए रखने के लिए hawk ~6.0.2 $ की आवश्यकता है।

• cve बताता है कि "5.0.3 से पहले _hoek नोड मॉड्यूल ..._ से ग्रस्त है" और संदर्भ https://github.com/hapijs/hoek/commit/32ed5c9413321fbc37da5ca81a7cbab693786dee को hoek v5.0.3 में एक फिक्स के रूप में संदर्भित करता है

• हालाँकि, hoek v4.2.1 में भी वह सुधार है:
  https://github.com/hapijs/hoek/commit/5aed1a8c4a3d55722d1c799f2368857bf418d6df
  https://github.com/hapijs/hoek/blob/v4.2.1/lib/index.js#L116

इस प्रकार, ऐसा प्रतीत होता है कि cve गलत तरीके से hoek v4.2.1 को असुरक्षित मान रहा है और यही कारण है कि इतने सारे github रेपो अब एक भेद्यता की रिपोर्ट कर रहे हैं। मैंने इस मुद्दे के बारे में nvd.nist.gov को एक ईमेल भेजा।

यहां देखें: https://github.com/request/request/issues/2891#issuecomment -372271727

डैन-एनएल के निष्कर्षों की पुष्टि करने के लिए, सीवीई राज्य में सिक्यूरिटीफोकस और हैकरोन दोनों के लिंक यह बताते हैं कि इसे ठीक कर दिया गया है

संवेदनशील नहीं:
| होक होक 4.2.1
| होक होक 5.0.3

vdeturckheim ने एक टिप्पणी पोस्ट की. 15 फरवरी (2 महीने पहले)
फिक्स को मॉड्यूल के 4.x ट्रैक पर वापस भेज दिया गया है और 4.2.1 के रूप में प्रकाशित किया गया है। (देखें https://github.com/hapijs/hoek/pull/231 )

और इसकी पुष्टि @nlf द्वारा https://github.com/hapijs/hoek/issues/230#issuecomment -366056246 में की गई है

इसे ठीक कर दिया गया है।
आगे चर्चा करने के लिए, (...)

@warpdesign आपने कहा

अनुरोध हॉक संस्करण ~ 6.0.2 पर निर्भर करता है। हॉक संस्करण 7.0.0 में अपडेट करने से समस्या ठीक हो जाएगी

लेकिन मैं यह कैसे करूं कि अगर मेरे पास सीधे निर्भरता के रूप में बाज नहीं है?

[email protected] /home/jfolpf/autocosts
└─┬ [email protected]
  └─┬ [email protected]
    ├─┬ [email protected]
    │ └── [email protected]  deduped
    ├─┬ [email protected]
    │ └─┬ [email protected]
    │   └── [email protected]  deduped
    ├── [email protected] 
    └─┬ [email protected]
      └── [email protected]  deduped

कौन सा एनपीएम कमांड? npm update request ने काम नहीं किया। न ही npm update hoek
धन्यवाद

आप नहीं कर सकते। आपको हॉक 7 का उपयोग करने वाला एक नया संस्करण प्रकाशित करने के लिए अनुरोध का इंतजार करना होगा। यही समस्या है।

पुष्टि कर सकते हैं, मेरे पास अनुरोध पुस्तकालय की वजह से होक भेद्यता होने के लिए गीथब द्वारा 6 रेपो को ध्वजांकित किया गया है।

@jfoclpf मुझे लगता है कि एक अद्यतन संस्करण के साथ कांटे प्रकाशित करके समस्या को अस्थायी रूप से ठीक करना संभव होना चाहिए। लेकिन आप इस रास्ते पर नहीं जाना चाहते। आधिकारिक संकल्प के लिए बेहतर प्रतीक्षा करें (जो कि आने में लंबा नहीं होना चाहिए, वीसीई राज्य को केवल hoek v4.2.1 के लिए अद्यतन करने की आवश्यकता है)।

अन्य पैकेजों से मुझे जो बताया गया है, उसके अनुसार यह जीथब से एक गलत सकारात्मक है। hoek के उस संस्करण में कोई भेद्यता नहीं है। फिर भी यह कष्टप्रद है और इस प्रकार आइए request के आधिकारिक अपडेट की प्रतीक्षा करें।

Node.js 4.x रिलीज़ लाइन 30 अप्रैल को जीवन के अंत में जा रही है, उसके बाद इसके साथ संगतता चिंता का विषय नहीं होना चाहिए।

हाँ, हाय: वेव: हॉक मेंटेनर यहाँ। संस्करण 4.2.1 को पैच कर दिया गया है । जीथब के अलर्ट वर्तमान में गलत हैं। मैंने सीवीई में संस्करण श्रेणी को सही करने के लिए एक अनुरोध सबमिट किया है और जीथब में कुछ प्रकार के लोगों को उनके अंत में चीजों की देखभाल करने के लिए परेशान किया है। _उम्मीद है_ वे जल्द ही उस संस्करण को असुरक्षित के रूप में रिपोर्ट करना बंद कर देंगे।

https://github.com/request/request/issues/2926#issuecomment -385087487
संस्करण 4.2.1 को पैच कर दिया गया है

https://github.com/hapijs/hoek/issues/247#issuecomment -385012074
मैंने सीवीई को अपडेट करने के लिए एक अनुरोध सबमिट किया है, उम्मीद है कि यह जल्द ही होगा और गिटहब अपना डीबी अपडेट कर सकता है। जब तक ऐसा नहीं होता यह सब मेरे हाथ से बाहर है। मैं इसे इस उम्मीद में खुला छोड़ रहा हूं कि अन्य लोग इसे ढूंढ लेंगे।

!?

@dscalzi ,

hawk > v7.0.0 नोड 4 और 6 के लिए समर्थन छोड़ देता है
https://github.com/hueniverse/hawk/blob/v7.0.1/.travis.yml

hawk >= v7.0.0 में hoek 5.x.x शामिल है
https://github.com/hueniverse/hawk/blob/master/package.json#L19

hoek v5.x.x नोड 4 और 6 के लिए समर्थन छोड़ देता है
https://github.com/hapijs/hoek/blob/v5.0.0/.travis.yml

यह मुद्दा अब कैसा चल रहा है कृपया?

@diamont1001 यह पहले से ही तय है

@Bjornskjald क्या आप निश्चित हैं?

[email protected]/1 -> [email protected] -> [email protected]

@diamont1001 hoek 4.2.1 में बगफिक्स बैकपोर्टेड है

@Bjornskjald

@ diamont1001 क्योंकि अगर आप पूरी चर्चा को पढ़ने के लिए पर्याप्त आलसी नहीं थे, तो आप देखेंगे कि यह गिटहब के साथ एक बग है और होक रखरखाव ने पहले ही उनसे संपर्क किया है ...

@nlf इस धागे को पहले अपडेट करने के लिए धन्यवाद! जीथब से अभी तक कोई प्रतिक्रिया? मैं उन्हें भी पिंग करने पर विचार कर रहा हूं ...

स्थिति अपडेट?

स्थिति अपडेट?

@GitHub स्टाफ से @phillmv ने https://github.com/hapijs/hoek/issues/247#issuecomment -386708295 पर एक स्पष्टीकरण पोस्ट किया है:

[...] हमने सोमवार को वापस अलर्ट किए गए संस्करणों को ठीक कर दिया, और मैंने व्यक्तिगत रूप से आज पहले सभी खराब अलर्ट हटा दिए। [...]

नमस्ते, मैंने सभी चर्चाएं पढ़ ली हैं लेकिन मुझे अभी भी समस्या हो रही है।
मैंने npm ऑडिट चलाया है और मुझे hoek पैकेज के बारे में 11 भेद्यता की सूचना दी है।
मैंने इसे 7.0.7 पर अपडेट किया है लेकिन कुछ भी नहीं बदला है। मैंने ऊपर बताए अनुसार हॉक पैकेज को भी अपडेट किया है लेकिन फिर भी कुछ भी नहीं बदला है।
कृपया क्या आप मेरी मदद कर सकते हैं?

@NadGu कृपया पहले अपने package-lock.json फ़ाइल की जाँच करें।

@diamont1001 अभी किया। हुक का संस्करण 4.2.1 है। मैं इसे अपडेट करने के लिए क्या कर सकता हूं?

[email protected] ठीक है।
मुझे लगता है कि आपको डेटा को रीफ्रेश करने के लिए केवल जीथब की प्रतीक्षा करनी है, कम से कम मैंने इसे उस समय किया था, और यह काम करता था।

@diamont1001 तो चलिए इंतजार करते हैं! कम से कम मैंने वह सब किया जो मैं कर सकता था। शुक्रिया!

@nadgu हाय!

क्या आप कह रहे हैं कि आपके पास गिटहब पर एक रिपोजिटरी है जहां हम अभी भी 4.2.1 के संस्करण को कमजोर होने के रूप में फ़्लैग कर रहे हैं? ऐसा नहीं होना चाहिए!

कृपया रिपॉजिटरी लिंक के साथ [email protected] पर ईमेल करें और @phillmv का उल्लेख करें और हम इसे वहां से ले लेंगे :)।

इस समस्या को स्वचालित रूप से पुराने के रूप में चिह्नित कर दिया गया है क्योंकि इसमें हाल की गतिविधि नहीं है। आगे कोई गतिविधि नहीं होने पर इसे बंद कर दिया जाएगा। आपके योगदानों के लिए धन्यवाद।