> Yarn 后置链接漏洞

Yarn 后置链接漏洞

CNNVD-ID编号	CNNVD-201912-725	CVE编号	CVE-2019-10773
发布时间	2019-12-16	更新时间	2020-02-13
漏洞类型	后置链接	漏洞来源	N/A
危险等级	高危	威胁类型	本地
厂商	N/A

漏洞介绍

Yarn是一款开源的软件包安装、管理工具。

Yarn 1.21.1之前版本中存在安全漏洞，该漏洞源于包安装功能可以被用来在主机文件系统上创建任意符号链接。攻击者可利用该漏洞覆盖文件。

漏洞补丁

目前厂商已发布升级了Yarn 后置链接漏洞的补丁，Yarn 后置链接漏洞的补丁获取链接：

https://github.com/yarnpkg/yarn/commit/039bafd74b7b1a88a53a54f8fa6fa872615e90e7

参考网址

来源:snyk.io

链接：https://snyk.io/vuln/SNYK-JS-YARN-537806

来源:MISC

链接：https://blog.daniel-ruf.de/critical-design-flaw-npm-pnpm-yarn/

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/ITY5BC63CCC647DFNUQRQ5AJDKUKUNBI/

来源:github.com

链接：https://github.com/yarnpkg/yarn/issues/7761#issuecomment-565493023

来源:MISC

链接：https://github.com/yarnpkg/yarn/commit/039bafd74b7b1a88a53a54f8fa6fa872615e90e7

来源:REDHAT

链接：https://access.redhat.com/errata/RHSA-2020:0475

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/3HIZW4NZVV5QY5WWGW2JRP3FHYKZ6ZJ5/

来源:access.redhat.com

链接：https://access.redhat.com/errata/RHSA-2020:0475

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2020.0485/

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/Node-js-Yarn-file-corruption-via-Package-Install-31567

来源:nvd.nist.gov

链接：https://nvd.nist.gov/vuln/detail/CVE-2019-10773

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201912-725