Webtorrent-desktop: npm audit security vulnerabilities

[jcalfee]

Are any of these serious? The yaml code injection is concerning. I see that the yaml vulnerability involves depcheck which is only listed in devDependencies (in package.json) so that is probably not too concerning.

$ npm ls js-yaml
[email protected] /home/james/opt/webtorrent-desktop
└─┬ [email protected]
  └── [email protected] 

Please review the full list. Probably a good idea just to fix everything. That simplifies auditing the code.

$ git branch
* master

$ npm audit

                       === npm audit security report ===                        

# Run  npm update js-yaml --depth 3  to resolve 4 vulnerabilities
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ depcheck [dev]                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ depcheck > js-yaml                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/788                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ standard [dev]                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ standard > eslint > js-yaml                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/788                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Code Injection                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ depcheck [dev]                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ depcheck > js-yaml                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/813                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Code Injection                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ standard [dev]                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ standard > eslint > js-yaml                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/813                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


# Run  npm update tar --depth 5  to resolve 2 vulnerabilities
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary File Overwrite                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tar                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ chokidar                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ chokidar > fsevents > node-pre-gyp > tar                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/803                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary File Overwrite                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tar                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nodemon                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nodemon > chokidar > fsevents > node-pre-gyp > tar           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/803                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


# Run  npm update mksnapshot --depth 3  to resolve 2 vulnerabilities
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary File Overwrite                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ decompress-zip                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ electron-packager [dev]                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ electron-packager > asar > mksnapshot > decompress-zip       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/777                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary File Overwrite                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ decompress-zip                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ electron-winstaller [dev]                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ electron-winstaller > asar > mksnapshot > decompress-zip     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/777                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.11                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/782                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.11                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > lodash                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/782                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > lodash                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ minimatch                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > glob > minimatch      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/118                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ protobufjs                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=5.0.3 < 6.0.0 || >=6.8.6                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ chromecasts                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ chromecasts > castv2-client > castv2 > protobufjs            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/605                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 14 vulnerabilities (2 low, 5 moderate, 7 high) in 6262 scanned packages
  run `npm audit fix` to fix 8 of them.
  6 vulnerabilities require manual review. See the full report for details.

[feross]

Thanks for raising this issue. We should aim to fix these issues before cutting a new WebTorrent Desktop release.

I have a fix for this issue chromecasts > castv2-client > castv2 > protobufjs but I don't have a Chromecast handy at the moment to test it out. Can someone confirm that the code in this pull request still works correctly? https://github.com/thibauts/node-castv2/pull/56

Help fixing the remaining issues is welcome :)

[hicom150]

npm audit reports 8 vulnerabilities (2 low, 1 moderate, 5 high) in this 3 packages

• nobin-debian-installer [dev]
  
  
  
  • [x] https://github.com/grunjol/nobin-debian-installer/pull/7
  
  
  • [x] https://github.com/grunjol/nobin-debian-installer/pull/8
  
  
• airplayer
  
  
  
  • [ ] https://github.com/watson/airplay-protocol/issues/6
  
  
• chromecasts
  
  
  
  • [x] https://github.com/thibauts/node-castv2/pull/56
  
  

I start also sending some PRs to fix the problems ASAP, so we can get this release rolling 😉

[Borewit]

Very nice work @hicom150.

[Borewit]

Despite the fact @hicom150 made it really tempting to merge fixes into the vulnerable flagged repo's, they do not seem to be very responsive so far.

Are we going to wait for this? What else would you like to be done to get a release out @feross?

I went back to release v0.20.0 and run an npm install && npm audit on that version. There are at least 16 vulnerabilities (I say at least, because there was no lock-file checked in at that time, which means, running an npm install at this point in time, may have already fixed some).

Bottom line is, we got rid of at least half of the potential vulnerabilities and we strongly suspect that a lot of issues should be addressed with the electron upgrade. We can always fix more issues and publish another release.

[feross]

@Borewit This is a good argument. I will attempt to make a release today, but I expect that I will run into issues with the signing certs since they haven't been used in a while. I might need to reapply for a new cert. Will investigate and report back.

[hicom150]

This is great news! If you need any help, let me know 😉

[feross]

I just published a new version of [email protected] which now resolves the npm audit warnings caused by chromecasts.

[feross]

After the last updates:

                       === npm audit security report ===                        

┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ minimatch                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > glob > minimatch      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/118                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/577                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > lodash                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/577                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.11                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/782                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.11                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > lodash                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/782                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.12                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1065                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.12                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nobin-debian-installer [dev]                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nobin-debian-installer > glob-expand > lodash                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1065                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 7 vulnerabilities (2 low, 5 high) in 5612 scanned packages
  7 vulnerabilities require manual review. See the full report for details.

[feross]

I fixed the nobin-debian-installer security issues by merging @hicom150's PR into a fork of that package (https://github.com/webtorrent/webtorrent-desktop/issues/1676) This was also necessary just to get a fix in to do the release (https://github.com/webtorrent/webtorrent-desktop/issues/1674). So, now we have only 3 left.

                       === npm audit security report ===                        

┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/577                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.11                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/782                             │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.12                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ airplayer                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ airplayer > airplay-protocol > plist > xmlbuilder > lodash   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1065                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 3 vulnerabilities (1 low, 2 high) in 5541 scanned packages
  3 vulnerabilities require manual review. See the full report for details.

[hicom150]

To fix the last 3 vulnerabilities we can use the same strategy...

In this case, 2nd level dependency [email protected] npm release has the vulnerabilities, but there are already fixed in it's master branch. So we can fork 1st level dependency airplayer and point to airplay-protocol@github:master until @watson updates airplayer and airplay-protocol npm releases 😅

As conclusion, @feross can you fork airplayer? Then I will send a PR with the fix 😉

[Borewit]

can you fork airplayer?

Has been forked: https://github.com/webtorrent/airplay-protocol

[hicom150]

Nice, but I think that we also need to fork airplayer in addition to airplay-protocol as it is in airplayer where we need to change the dependency 😉

[Borewit]

Done: https://github.com/webtorrent/airplayer

Leave the master branches reserved for merging with upstream repo?

Please let Feross release the NPMs if they are ready.

[hicom150]

Great! https://github.com/webtorrent/airplayer/pull/1 is the PR with the proposed change 😉

[hicom150]

1680 Should fix last 3 vulnerabilities 💪

@Borewit @feross great work! 😎

[feross]

@Borewit @hicom150 Thanks for the PRs! Zero vulnerabilities on master now!

 === npm audit security report ===                        

found 0 vulnerabilities
 in 5539 scanned packages

Excellent work! 🌟