Vulnérabilité critique dans une bibliothèque Node.js : une menace pour des milliers de projets

Vulnérabilité critique dans une bibliothèque JavaScript (Node.js) populaire : menace d'exécution de code à distance

La communauté des développeurs Node.js a été secouée par l'annonce de la découverte d'une vulnérabilité critique affectant l'une des bibliothèques les plus utilisées de l'écosystème. Le problème, identifié sous le numéro CVE-2024-XXXX (numéro en cours de confirmation), permet à un attaquant d'exécuter du code arbitraire à distance (RCE) sur un serveur fonctionnant sous Node.js. Selon les experts en cybersécurité, la vulnérabilité affecte des millions de projets dans le monde entier.

Nature du problème

La vulnérabilité a été découverte dans la bibliothèque « fast-xml-parser » (versions antérieures à 4.3.4), utilisée pour l'analyse de documents XML et HTML. Cette bibliothèque fait partie du top 1000 des packages les plus populaires du gestionnaire npm et compte plus de 15 millions de téléchargements par semaine. Le problème réside dans un traitement incorrect des entités externes XML (XXE — XML External Entity).

Lors du traitement d'un document XML spécialement conçu, la bibliothèque ne vérifie pas les ressources externes incluses, ce qui permet à un attaquant de :

• Lire des fichiers arbitraires sur le serveur (par exemple, mots de passe, clés d'accès, configurations) ;
• Exécuter des commandes arbitraires via SSRF (Server-Side Request Forgery) ;
• Provoquer un déni de service (DoS) via des références récursives infinies.

Le danger particulier réside dans le fait qu'aucune authentification n'est requise pour exploiter la vulnérabilité — il suffit que le serveur traite un document XML malveillant transmis via une requête HTTP, un téléchargement de fichier ou WebSocket.

Quelles versions sont menacées ?

Les chercheurs en sécurité ont confirmé que toutes les versions de la bibliothèque fast-xml-parser antérieures à 4.3.4 sont vulnérables. Les projets utilisant des versions obsolètes de packages qui dépendent transitivement de cette bibliothèque (via d'autres dépendances) sont également menacés.

La situation est particulièrement critique pour :

• Les serveurs web traitant des requêtes XML-RPC ;
• Les systèmes d'intégration avec des services SOAP ;
• Les applications utilisant OpenAPI/Swagger avec des schémas XML ;
• Les services travaillant avec des fichiers de configuration au format XML.

Recommandations de sécurité

Les développeurs de la bibliothèque ont déjà publié un correctif dans la version 4.3.4. Nous recommandons vivement à tous les utilisateurs de Node.js d'effectuer immédiatement les actions suivantes :

• Mettre à jour la bibliothèque — exécutez la commande npm update fast-xml-parser ou modifiez manuellement la version dans package.json en "^4.3.4" ;
• Vérifier les dépendances transitives — utilisez npm audit pour identifier les dépendances imbriquées obsolètes ;
• Désactiver les entités externes — si la mise à jour est impossible, désactivez explicitement le traitement des DOCTYPE et des entités externes via les options de l'analyseur ;
• Mettre en place un WAF — configurez un Web Application Firewall pour bloquer les requêtes XML suspectes.

Les experts notent que ce n'est pas le premier cas de vulnérabilité critique dans les bibliothèques d'analyse de données. Auparavant, des problèmes similaires avaient été découverts dans les bibliothèques d'analyse YAML (js-yaml) et CSV (papaparse). Les développeurs devraient accorder plus d'attention à la