如何摆脱“hook”漏洞

Question

我最近将一个 Angular CLI 5 应用程序推送到 GitHub，它显示以下内容：

We found a potential security vulnerability in one of your dependencies.
A dependency defined in net-incident/package-lock.json has known security vulnerabilities and should be updated.
Dependencies defined in net-incident/package-lock.json 816
hapijs / hoek Known security vulnerability in 2.16.3

我查看了“npm audit”的输出并执行了各种更新，包括以下内容（未建议）：

npm install --save-dev request@2.86.0

“request”包包含“hawk”，其中包含“hoek”。当我查看 node_modules 中的“请求”包时，版本已更改。但是来自“npm audit”的以下两个更新似乎没有做任何事情：

npm update fsevents --depth 4 npm update stringstream --depth 5

我还剩下以下内容：

[!] 33 vulnerabilities found [12201 packages audited]
    Severity: 5 Low | 24 Moderate | 4 High
    Run `npm audit` for more detail

许多漏洞如下：

Moderate        Prototype pollution
Package         hoek
Patched in      > 4.2.0 < 5.0.0 || >= 5.0.3
Dependency of   karma
Path            karma > log4js > loggly > request > hawk > boom > hoek
More info       https://nodesecurity.io/advisories/566

最后，应用程序无法编译，所以我更换了包和锁定文件，现在我又回到了开头。我真的很想解决安全问题。如何摆脱讨厌的“hook”漏洞？

Answer 1

你应该运行rm package-lock.json && npm update && npm install，如果这仍然不能解决你的问题，你可以继续运行npm ls hoek，它应该会给你：

├─┬ fuse-box@3.3.0
│ └─┬ request@2.81.0
│   └─┬ hawk@3.1.3
│     ├─┬ boom@2.10.1
│     │ └── hoek@2.16.3
│     ├── hoek@2.16.3
│     └─┬ sntp@1.0.9
│       └── hoek@2.16.3
└── hoek@5.0.3

对照npm hawk上的版本检查hawk的版本，如果不相符，运行npm i hawk --save或npm i hoek@latest --save，然后你也应该运行：npm i karma@latest --save，然后npm audit，然后我再次运行了正常的 git 命令：

git add .
git commit -m 'whatever_message'
git push 

然后你可以回到 Github，安全漏洞应该已经修复了。

Answer 2

This answer 解决了类似的hoek 问题，this answer 详细解释了非漏洞审计报告。

npm audit 报告可能的问题。没有必要它们是应该解决的真正问题。

像karma > log4js > loggly > request > hawk > boom > hoek 这样的嵌套依赖可能需要在依赖链中派生多个包，以防它必须被修复。

Prototype pollution 诊断表示代码异味。原型污染气味的原因是它可能导致安全问题。这就是它被标记为Moderate 的原因。由于它的工作方式，它不太可能在hoek 包中引起任何安全风险，无论包的使用方式如何（这也很重要）。

另外，karma > log4js > loggly > request > hawk > boom > hoek依赖链表示问题出现在开发依赖中。大多数安全问题主要适用于生产中使用的依赖项。这个问题是特定于测试和业力的。这几乎不可能是威胁。

TL;DR：这不是漏洞。它必须被忽略。任何npm audit 报告都应通过健全性检查，然后才能进行任何修复。

Answer 3

我很耐心，他们解决了问题：

npm update karma@latest

应该可以。