![\"vuln\u00e9rabilit\u00e9s\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhBz3IT6BU8eGspTJ_mqNmAFNjrhqryniEtc2585T1nSMNZzcIX730qaA1HrO7NlWBPSd9946O_RYaOEEx11UzzP-b6t8rLK5ZWhTw7jkND7kr6vypFg2t697iyhy074_yos1kdBx_0Z_4Vh9RkUrBr2zprivIXxJ4oDamfBrNoUJo2v7a2iDu-iohH\/s728-e1000\/flaw.jpg\" "\\"vuln\u00e9rabilit\u00e9s\\"\/")
<\/div>\nLa correction des vuln\u00e9rabilit\u00e9s indirectes fait partie de ces t\u00e2ches complexes, fastidieuses et franchement ennuyeuses auxquelles personne ne veut vraiment s’atteler. Personne sauf pour <\/em>D\u00e9briqu\u00e9<\/em><\/a>, il semble. Bien s\u00fbr, il existe de nombreuses fa\u00e7ons de le faire manuellement, mais peut-il \u00eatre fait automatiquement avec un risque minimal de rupture des modifications\u00a0? L’\u00e9quipe Debricked a d\u00e9cid\u00e9 de le d\u00e9couvrir. <\/em><\/p>\n Alors, par o\u00f9 commencer ?<\/p>\n Premi\u00e8rement, il doit y avoir un moyen de corriger la vuln\u00e9rabilit\u00e9, ce qui, pour les d\u00e9pendances indirectes, n’est pas une promenade de sant\u00e9. Deuxi\u00e8mement, cela doit \u00eatre fait de mani\u00e8re s\u00fbre ou sans rien casser. <\/p>\n Vous voyez, les d\u00e9pendances indirectes sont introduites profond\u00e9ment dans l’arborescence des d\u00e9pendances et il est tr\u00e8s difficile d’obtenir la version exacte que vous souhaitez. Comme l’a dit un jour le responsable de la R&D de Debricked, “Vous tournez les boutons en jouant avec vos d\u00e9pendances directes et en priant Torvalds pour que les bons paquets indirects soient r\u00e9solus. Lorsque Torvalds est en votre faveur, vous devez sacrifier un peu de stockage cloud \u00e0 l’oncle Bob pour vous assurer que les mises \u00e0 jour ne cassent pas votre application<\/em>.”<\/p>\n En d’autres termes, il devrait vraiment y avoir un moyen plus simple et moins stressant de le faire. <\/p>\n Dans cet article, nous vous expliquerons comment r\u00e9soudre manuellement les vuln\u00e9rabilit\u00e9s transitives et, vers la fin, nous vous montrerons la solution Debricked, qui vous permet de le faire automatiquement. Si vous \u00eates vraiment int\u00e9ress\u00e9 par la solution, je vous sugg\u00e8re de commencer \u00e0 faire d\u00e9filer<\/em>. <\/p>\n Au cours de la phase de recherche du projet de base de donn\u00e9es graphique<\/a>ou comment Debricked corrige aujourd’hui vos vuln\u00e9rabilit\u00e9s open source \u00e0 la vitesse de la lumi\u00e8re, l’\u00e9quipe est tomb\u00e9e sur quelques articles<\/a> expliquant comment corriger les vuln\u00e9rabilit\u00e9s indirectes dans NPM. <\/p>\n Comme indiqu\u00e9 dans l’article, le package “minimist” est affect\u00e9 par des vuln\u00e9rabilit\u00e9s, \u00e0 savoir CVE-2021-44906<\/a> et CVE-2020-7598<\/a>. <\/p>\n Il s’agit de deux vuln\u00e9rabilit\u00e9s “Pollution prototype”, ce qui signifie que les arguments ne sont pas correctement filtr\u00e9s. Heureusement, les responsables de `minimist` ont corrig\u00e9 ces vuln\u00e9rabilit\u00e9s dans la version 1.2.6. <\/p>\n Malheureusement, la version 7.1.0 de `mocha` r\u00e9sout `minimist` 0.0.8, qui se situe dans la plage vuln\u00e9rable de ces vuln\u00e9rabilit\u00e9s. Comme l’a sugg\u00e9r\u00e9 l’auteur de Cet article<\/a>ces vuln\u00e9rabilit\u00e9s peuvent \u00eatre corrig\u00e9es de diff\u00e9rentes mani\u00e8res. <\/p>\n La premi\u00e8re suggestion est de simplement d\u00e9clencher une mise \u00e0 jour de toutes les “d\u00e9pendances indirectes”, ce qui signifie que nous ne changerons pas r\u00e9ellement la version de `mocha`. Pour effectuer cette mise \u00e0 jour, ex\u00e9cutez simplement `npm update`, supprimez votre fichier `npm.lock` et ex\u00e9cutez `npm install`. Cela r\u00e9g\u00e9n\u00e8re l’arborescence des d\u00e9pendances avec la derni\u00e8re version possible (selon les contraintes) de vos d\u00e9pendances indirectes. Avec cette m\u00e9thode, le risque de casser les changements est tr\u00e8s faible car vous ne mettez \u00e0 jour aucune de vos d\u00e9pendances racine, seulement vos d\u00e9pendances indirectes. <\/p>\n Des modifications avec rupture se produisent lorsque la fonctionnalit\u00e9 ou l’interface du package n’est pas compatible avec les versions ult\u00e9rieures, ce qui signifie qu’une mise \u00e0 jour du package peut entra\u00eener la rupture de votre application. Les changements de rupture courants sont la suppression de classe\/fonction, le changement d’arguments d’une fonction ou le changement de licence (attention \u00e0 celui-l\u00e0 !). <\/p>\n Mais la vie n’est pas toujours aussi facile, et cette simple mise \u00e0 jour de l’arbre ne r\u00e9soudra pas la vuln\u00e9rabilit\u00e9. Le probl\u00e8me est que `mkdirp` a en fait verrouill\u00e9 sa version de `minimist` \u00e0 0.0.8<\/a>. Cela signifie que les contributeurs de `mkdirp` sont arriv\u00e9s \u00e0 la conclusion qu’ils ne sont pas compatibles avec les nouvelles versions de `minimist`, et forcer la mise \u00e0 jour de `minimist` peut introduire des changements de rupture entre `mkdirp` et `minimist`. <\/p>\n Donc, la question \u00e0 un million de dollars est\u00a0: quelle version de \u00ab\u00a0moka\u00a0\u00bb doit \u00eatre utilis\u00e9e, qui \u00e0 son tour se transforme en une version s\u00fbre de \u00ab\u00a0minimist\u00a0\u00bb sans casser l’arbre de d\u00e9pendance\u00a0? Il s’agit en fait d’un probl\u00e8me de graphe, qui a \u00e9t\u00e9 d\u00e9crit dans Cet article<\/a>. <\/p>\n Quel algorithme de graphe r\u00e9soudrait ce probl\u00e8me\u00a0? La fa\u00e7on dont NPM r\u00e9sout les d\u00e9pendances peut \u00eatre un peu compliqu\u00e9e, car ils sont autoris\u00e9s \u00e0 “diviser” l’arborescence des d\u00e9pendances. Cela signifie qu’ils peuvent avoir plusieurs versions d’une d\u00e9pendance pour s’assurer que nous avons toujours un arbre compatible. Pour r\u00e9soudre la vuln\u00e9rabilit\u00e9, nous devons nous assurer que toutes les instances de `minimist` sont s\u00fbres en mettant \u00e0 jour toutes les racines qui peuvent se r\u00e9percuter sur `minimist`. <\/p>\n L’algorithme utilis\u00e9 pour r\u00e9soudre ce probl\u00e8me s’appelle “All Max Paths Safe”. En parcourant le graphique des d\u00e9pendances et en conservant le nombre maximal de versions, tout en supprimant toutes les autres versions de ce package \u00e0 chaque intersection, nous pouvons cr\u00e9er une repr\u00e9sentation approximative de notre arbre de d\u00e9pendances. Si l’approximation est s\u00fbre, cela signifie que notre arbre r\u00e9el sera \u00e9galement s\u00fbr ! <\/p>\n En ex\u00e9cutant cet algorithme pour toutes les versions potentielles de `mocha`, nous trouvons la plus petite mise \u00e0 jour pour corriger cette vuln\u00e9rabilit\u00e9. Pour obtenir la vitesse que nous voulions pour cet algorithme, l’\u00e9quipe a d\u00fb cr\u00e9er un Proc\u00e9dure Neo4j<\/a>, qui peut g\u00e9rer la recherche de plus de 100 versions root avec une profondeur de recherche de 30+ en ~150 millisecondes. Rapide, hein ?<\/p>\n Dans ce cas, nous n’avons pas besoin de chercher tr\u00e8s loin\u2026 car la version 7.1.1 de `mocha` est s\u00fbre\u00a0! Il ne s’agit que d’une mise \u00e0 jour de correctif, ce qui indique que le risque de casser les modifications est tr\u00e8s faible. Pour les cas moins complexes (comme cet exemple), ‘npm audit’ peut vous aider avec sa fantastique commande ‘npm audit fix’. <\/p>\n Maintenant, si vous \u00eates arriv\u00e9 jusqu’ici (f\u00e9licitations, tr\u00e8s impressionnant) et que vous pensez, “cela semble vraiment complexe et repr\u00e9sente \u00e9norm\u00e9ment de travail”, ne vous inqui\u00e9tez pas – vous n’\u00eates pas le seul. Heureusement, tout cela se produit de mani\u00e8re enti\u00e8rement automatique dans l’outil Debricked lorsque vous cliquez sur ce petit bouton\u00a0:<\/p>\n \u00c0 partir de maintenant, ceci est disponible pour Javascript. Bient\u00f4t, le support sera \u00e9tendu \u00e0 Java, Golang, C#, Python et PHP. <\/p>\n Si vous n’\u00eates pas encore un D\u00e9briqu\u00e9<\/a> utilisateur, qu’attendez-vous\u00a0? C’est gratuit pour les d\u00e9veloppeurs individuels, les petites \u00e9quipes et les projets open source (et si vous \u00eates une grande organisation, n’ayez crainte. Il y a un essai gratuit g\u00e9n\u00e9reux). Inscrivez-vous gratuitement ici<\/a>.<\/p>\n <\/p>\n<\/div>\nUne for\u00eat pleine d’arbres fragiles<\/h2>\n
Chirurgie de pr\u00e9cision sur votre arbre de d\u00e9pendance<\/h3>\n
![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhWtQmpvlQeajV8VyqQE1qBQDOSla435mEqZCkcb7TBeKTfyCfxD7-e9oHt1TyD0dSZ620a3lWsPodunNqhviT52NxYMVhRCXI1br8mL0fIvxy9EXmJY603umwMbwlI01PmE_GovRDoDCmrv9-2REVxq5LmmD0dTMto-hyoHiwL4A77BLoBkO33LI5Y\/s728-e100\/3.jpg\"\/)
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Resoudre-lenigme-des-vulnerabilites-indirectes-corriger-les-vulnerabilites-indirectes.png\"\/)
<\/div>\nMais! Qu’en est-il des modifications avec rupture\u00a0?<\/h3>\n
Pensez\u2026 aux graphiques ! <\/h2>\n
Ne soyez pas ad hoc, entrez dans la fa\u00e7on de travailler pub-sous-humaine\u00a0! <\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Resoudre-lenigme-des-vulnerabilites-indirectes-corriger-les-vulnerabilites-indirectes.jpg\"\/)
<\/div>\n