¿Puede Netsparker detectar un CVE en una biblioteca de código abierto empaquetado en un paquete de paquetes web?

Navega tus respuestas
0

En un análisis reciente de Netsparker, se informó un CVE contra una biblioteca de código abierto de JavaScript (como se esperaba). Estoy tratando de entender exactamente cómo Netsparker determina:  1. ¿Qué biblioteca JS se está utilizando, y  2. Qué versión de la biblioteca JS se está utilizando

Mi conjetura es que está analizando la información de la versión de los comentarios en el encabezado. Sin embargo, si una biblioteca JS se combina con otras que usan WebPack para crear un paquete, ¿puede Netsparker determinar que se están utilizando varias bibliotecas y detectar CVEs para todas ellas?

Busqué en el sitio de Netsparker, pero no pude encontrar suficiente información. Lo pregunto porque no tengo una copia de Netsparker que pueda ejecutar arbitrariamente.

    
pregunta Patrick 08.11.2018 - 23:45
fuente

2 respuestas

1

Envié una solicitud de soporte a Netsparker y respondieron con lo siguiente:

  1. Primero, intentan recuperar el nombre de la biblioteca y el número de versión de los comentarios del código,
  2. Si eso no funciona, comprueban si hay una función de versión () (o similar).

Mencionaron para algunas bibliotecas que el hash / checksum del archivo se usa para detectar la versión.

Además, para varias bibliotecas que están empaquetadas, pueden detectar la versión si no se eliminan los comentarios de código.

    
respondido por el Patrick 14.11.2018 - 21:53
fuente
1

Hay algunas formas de realizar la comprobación:

  1. Analizar la información de la versión.
  2. Hash el archivo JS y compárelo con una lista conocida de versiones de software.
  3. Cree una base de datos de verificaciones de patrones que identifiquen el software y su versión.

La opción 3 detectaría el JS antiguo incrustado dentro de un archivo combinado.

No sé cuál de estos Netsparker utiliza realmente, pero puede consultarlos en helpdesk .

    
respondido por el Polynomial 09.11.2018 - 03:37
fuente

Lea otras preguntas en las etiquetas

¿Los proxies SSL, como los de los proveedores de antivirus, secuestran los procesos de los clientes? Samsung EVO 970 SSD en una computadora portátil sin TPM - borrado seguro, ¿la unidad está cifrada?