Yarn 后置链接漏洞

漏洞介绍

Yarn是一款开源的软件包安装、管理工具。

Yarn 1.21.1之前版本中存在安全漏洞，该漏洞源于包安装功能可以被用来在主机文件系统上创建任意符号链接。攻击者可利用该漏洞覆盖文件。

漏洞补丁

目前厂商已发布升级了Yarn 后置链接漏洞的补丁，Yarn 后置链接漏洞的补丁获取链接：

https://github.com/yarnpkg/yarn/commit/039bafd74b7b1a88a53a54f8fa6fa872615e90e7

参考网址

来源:snyk.io

链接：https://snyk.io/vuln/SNYK-JS-YARN-537806

来源:MISC

链接：https://blog.daniel-ruf.de/critical-design-flaw-npm-pnpm-yarn/

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/ITY5BC63CCC647DFNUQRQ5AJDKUKUNBI/

来源:github.com

链接：https://github.com/yarnpkg/yarn/issues/7761#issuecomment-565493023

来源:MISC

链接：https://github.com/yarnpkg/yarn/commit/039bafd74b7b1a88a53a54f8fa6fa872615e90e7

来源:REDHAT

链接：https://access.redhat.com/errata/RHSA-2020:0475

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/3HIZW4NZVV5QY5WWGW2JRP3FHYKZ6ZJ5/

来源:access.redhat.com

链接：https://access.redhat.com/errata/RHSA-2020:0475

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2020.0485/

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/Node-js-Yarn-file-corruption-via-Package-Install-31567

来源:nvd.nist.gov

链接：https://nvd.nist.gov/vuln/detail/CVE-2019-10773

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201912-725