CVE-2024-27933

Deno versão 1.39.0

O problema decorre do uso de descritores de arquivo brutos na função op node ipc pipe(), levando ao fechamento prematuro de descritores de arquivo arbitrários. Isso permite que a entrada padrão seja fechada e reaberta como um recurso diferente, resultando na contornagem de solicitações de permissão. Um invasor que controle o código executado dentro de um tempo de execução do Deno pode explorar isso para obter a execução de código arbitrário na máquina host, independentemente das permissões. Sabe-se que a vulnerabilidade é explorável, com um exploit funcional que consegue a execução de código arbitrário contornando solicitações de permissões a partir de zero e abusando da falta de verificações de permissão do sistema de arquivos na API Cache. O ataque pode ser conduzido silenciosamente, pois o stderr também pode ser fechado, suprimindo todas as saídas de solicitação.

Para resolver o problema, atualize para a versão 1.39.1 do Deno, que corrige o bug. Para a versão 1.39.0, como solução temporária, considere restringir o uso da função op node ipc pipe() até que um patch esteja disponível. Além disso, tenha cuidado ao usar a API Cache, pois ela carece de verificações de permissão do sistema de arquivos, o que pode ser abusado em conjunto com esta vulnerabilidade.