Was ist ein Prototype-Pollution-Angriff in Node.js?

Bei der Untersuchung von Modulen aus npm wurde entdeckt und gemeldet, dass viele Module – beginnend mit lodash – für Prototype Pollution anfällig sind. Anschließend gelang sogar eine Demo mit dem tatsächlich verwundbaren Ghost CMS: Durch Manipulation der für eine Passwort-Zurücksetzung erforderlichen Daten wurde auf dem Server eine Rechner-Anwendung ausgeführt.

Dass in JavaScript-Laufzeitumgebungen die Gefahr von Prototype Pollution besteht, wird schon seit Langem diskutiert. Vermutlich hätten jedoch nur wenige erwartet, dass dies zum Angriff auf Webserver in einer Node.js-Umgebung genutzt werden könnte.

Dieses Dokument soll – auch als persönliche Gedächtnisstütze – das Prinzip dieses Angriffs erläutern.