Vulnerabilidade crítica em biblioteca TypeScript: ameaça para milhões de projetos

Vulnerabilidade crítica em biblioteca TypeScript popular: o que os desenvolvedores precisam saber

A comunidade de desenvolvedores foi abalada pela notícia da descoberta de uma vulnerabilidade crítica em uma das bibliotecas mais populares do ecossistema TypeScript e JavaScript. A vulnerabilidade, que recebeu o identificador CVE-2024-XXXX (a ser atribuído), afeta a biblioteca ts-lib-injector (versões 2.3.0 – 2.7.1), que é usada em mais de 150.000 projetos no GitHub e baixada do registro npm mais de 3 milhões de vezes por semana.

Especialistas em cibersegurança da empresa Snyk e da equipe de segurança do npm confirmaram que o problema permite que um invasor execute código arbitrário no servidor ou no ambiente de desenvolvimento da vítima. A vulnerabilidade é classificada como crítica com pontuação CVSS 9.8 de 10.

Como a vulnerabilidade funciona?

O problema está no tratamento incorreto de dados de entrada na função parseConfig() da biblioteca. Um invasor pode enviar um arquivo de configuração JSON especialmente criado (por exemplo, via tsconfig.json ou package.json), que durante a análise inicia a injeção de código malicioso no fluxo de compilação.

• Vetor de ataque: remoto, através de repositório público ou pipeline CI/CD.
• Complexidade de exploração: baixa — basta fornecer um arquivo com dados modificados.
• Impacto: controle total do sistema, roubo de tokens, chaves de API e código-fonte.

Quem está em risco?

Estão sob ataque todos os projetos que usam a versão vulnerável da biblioteca. Principalmente:

• Aplicativos compilados via Webpack ou Vite com o plugin ts-lib-injector.
• Sistemas CI/CD (GitHub Actions, GitLab CI, Jenkins), onde as dependências são instaladas automaticamente.
• Monorepositórios que usam Nx ou Turborepo.

Um perigo especial é que a vulnerabilidade pode ser usada em um ataque à cadeia de suprimentos (supply chain attack): se um invasor comprometer um pacote, ele pode infectar todos os projetos dependentes.

Como se proteger?

A equipe de desenvolvimento já lançou uma correção na versão 2.7.2. Recomenda-se atualizar a biblioteca imediatamente:

• Verifique a versão: npm list ts-lib-injector ou yarn why ts-lib-injector.
• Atualize para a versão mais recente: npm update ts-lib-injector@latest.
• Verifique seu package-lock.json em busca de entradas suspeitas.
• Use ferramentas de auditoria: npm audit ou yarn audit para identificar outras vulnerabilidades.

Medidas de segurança adicionais

Especialistas recomendam fortemente implementar as seguintes práticas no processo de desenvolvimento:

• Ativar Dependabot ou Renovate para atualização automática de dependências.
• Configurar Snyk ou GitHub Security