CVE-2026-41242: критическая уязвимость внедрения кода в protobuf.js
CVSS 9.8 — эксплуатация, влияние и полное руководство по исправлению

Обзор уязвимости

17 апреля 2026 года разработчики protobuf.js раскрыли CVE-2026-41242 — критическую уязвимость внедрения кода в одном из самых зависимых пакетов npm. protobuf.js — это среда выполнения JavaScript для Protocol Buffers, формата сериализации от Google, используемая примерно 52 миллионами установок npm в неделю.

Уязвимость получила оценку CVSS 3.1 — 9.8 (CRITICAL) от NVD с вектором CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — сетевой доступ, низкая сложность, без привилегий, без взаимодействия с пользователем, полная компрометация конфиденциальности, целостности и доступности. GitHub Security Advisories оценила её в 8.7 (HIGH) по CVSS 4.0, указав LOW уровень привилегий.

Обнаруженная исследователями безопасности cristianstaicu, alexander-fenster и sofisl, уязвимость классифицирована как CWE-94 (недостаточный контроль генерации кода — 'Code Injection'). Отслеживается через GHSA-xq3m-2v4x-88gg.

Техническая причина

protobuf.js компилирует определения Protocol Buffers (.proto-файлы или JSON-дескрипторы) в JavaScript-код во время выполнения. Когда вы определяете тип сообщения, protobuf.js генерирует функции encode, decode и toObject, встраивая имена типов напрямую в строки генерируемого JavaScript.

Уязвимость поразительно проста в ретроспективе: имена типов подставлялись в генерируемый код без санитизации. Имя типа, содержащее символы вроде обратных кавычек, скобок или кавычек, может выйти за пределы строкового литерала и внедрить произвольный JavaScript в сгенерированную функцию.

// Упрощённо: как работает эксплойт
// protobufjs генерирует код примерно так:
function encode(message, writer) {
  // Имя типа подставляется напрямую:
  var TypeName = "` + АТАКУЕМЫЙ_КОД + `";
  // ...
}

// С вредоносным именем типа, содержащим:
// ` + process.mainModule.require('child_process').execSync('id') + `
// Сгенерированный код становится:
var TypeName = "` + process.mainModule.require('child_process').execSync('id') + `";
// JavaScript интерпретирует это как конкатенацию строк — команда выполняется!

Исправление: одна строка кода

Исправление (PR #2127) — это одна строка, добавленная в конструктор Type в src/type.js:

// До (уязвимо):
// Имена типов использовались как есть в генерируемом коде

// После (исправлено в 7.5.5 / 8.0.1):
name = name.replace(/\W/g, "");

Это регулярное выражение отфильтровывает все не-буквенно-цифровые символы из имён типов. Комментарий к коммиту объясняет: "Нет причин, по которым имя типа должно содержать что-либо кроме буквенно-цифровых символов. Отфильтровываем остальные символы с помощью регулярного выражения."

Вектор prototype pollution

Второе исправление (PR #2126) касалось связанного вектора атаки: загрязнения прототипа через конструктор Message. Когда объект свойств передавался в конструктор, __proto__ копировался как обычное свойство, позволяя атакующим загрязнять Object.prototype:

// Загрязнение прототипа через конструктор Message:
const properties = JSON.parse('{"__proto__": {"polluted": "yes"}}');
const message = new protobuf.Message(properties);
// message.__proto__.polluted === "yes"
// Object.prototype теперь загрязнён — влияет на все объекты!

// Исправление фильтрует __proto__ при переборе свойств:
// if (key === "__proto__") continue;

Цепочка атаки

Полная цепочка эксплуатации CVE-2026-41242 выглядит так:

1. Вредоносные данные: Атакующий предоставляет .proto-файл или JSON-дескриптор с именами типов, содержащими JavaScript-инъекции
2. Компиляция: protobuf.js компилирует определение, встраивая вредоносное имя типа без санитизации в генерируемый JavaScript-код
3. Сгенерированная функция: Сгенерированная функция encode/decode содержит код атакующего в цепочке конкатенации строк
4. Триггер: При вызове сгенерированной функции (encode, decode, toObject или verify) внедрённый JavaScript выполняется
5. Полная компрометация: Атакующий получает возможность выполнять произвольный код в процессе Node.js, обычно развёртывая веб-шелл, похищая данные или закрепляясь в системе

Затронутые версии

Первоначальный CVE-2026-41242

Полная цепочка уязвимостей (6 CVE)

Первоначальное исправление в 7.5.5 и 8.0.1 было неполным. В течение следующих двух месяцев разработчики раскрыли 5 дополнительных CVE — включая обходы внедрения кода, цепочки prototype pollution и уязвимости CLI:

Реальное влияние

protobuf.js — один из самых используемых пакетов на npm с примерно 52 миллионами еженедельных загрузок. Он является транзитивной зависимостью:

• Клиентских библиотек Google Cloud (@google-cloud/*) — BigQuery, Pub/Sub, Spanner, Datastore
• Firebase SDK (firebase-admin, firebase-functions) — используется в serverless-среде
• gRPC-web — каноническая gRPC-реализация для браузерных клиентов
• TensorFlow.js — использует protobuf для сериализации моделей
• Драйвера Apache Cassandra — nodejs-driver использует protobuf для протокола CQL
• Тысяч микросервисных фреймворков, использующих protobuf для межсервисной коммуникации

Критический профиль риска относится к приложениям, загружающим protobuf-определения из непроверенных источников — например, сервис, принимающий загруженные пользователем .proto-файлы, или API-шлюз, обрабатывающий внешние JSON-дескрипторы. Даже если ваше приложение использует только жёстко заданные .proto-файлы, атака на цепочку поставок, изменяющая эти файлы, приведёт к компрометации сервера.

Руководство по исправлению

1. Немедленно обновите protobufjs

Обновитесь до последних безопасных версий:

# Проверьте текущую версию
npm ls protobufjs

# Обновитесь до последней безопасной версии
npm install protobufjs@latest

# Или укажите конкретную версию:
# Для пользователей 7.x (рекомендуется: сразу до последней)
npm install [email protected]

# Для пользователей 8.x
npm install [email protected]

2. Обновите protobufjs-cli (если используется)

# Если вы используете pbjs или pbts в сборке
npm install protobufjs-cli@latest
# Минимум: 1.3.2 (1.x) или 2.5.0 (2.x)
# Последняя: 2.5.4

3. Проверьте транзитивные зависимости

protobuf.js часто является транзитивной зависимостью. Проверьте, не закреплены ли какие-либо из ваших зависимостей на уязвимой версии:

# Найдите все версии protobufjs в дереве зависимостей
npm ls protobufjs

# Проверьте транзитивный protobufjs-cli
npm ls protobufjs-cli

# Принудительное разрешение, если транзитивная зависимость закреплена
npm install [email protected] --save-dev
# Или используйте overrides в package.json:
// "overrides": {
//   "protobufjs": "7.6.4"
// }

4. Подтвердите исправление

# Подтвердите версию
npm ls protobufjs
# Ожидается: 7.6.4 или 8.6.3 (или выше)

# Для protobufjs-cli
npm ls protobufjs-cli
# Ожидается: 2.5.4 или выше

Временные меры (если патч невозможен)

Если немедленное обновление невозможно (например, из-за ограничений совместимости):

• Не загружайте protobuf-определения из непроверенных источников — это основной вектор атаки. Компилируйте только .proto-файлы, которые вы контролируете
• Проверяйте внешние JSON-дескрипторы перед загрузкой — отклоняйте имена типов, содержащие не-буквенно-цифровые символы
• Изолируйте обработку схем в песочнице (отдельный процесс с ограниченными привилегиями)
• Проверьте дерево зависимостей на protobufjs — найдите каждый пакет, который привносит уязвимые версии
• Для CLI: запускайте генерацию кода pbjs только в изолированных сборочных конвейерах

Полная хронология

Выводы для индустрии

Цепочка уязвимостей protobuf.js даёт несколько важных уроков:

• Интерполяция строк в генерируемый код — это внедрение кода. Любая библиотека, генерирующая JavaScript конкатенацией управляемых пользователем строк в тела функций, создаёт вектор RCE. Исправление — санитизация регулярным выражением — эффективно, но показывает, как легко вводится такой класс уязвимостей.
• Первоначальные патчи могут быть неполными. Исправление CVE-2026-41242 было обойдено пять раз последующими CVE. Каждый обход использовал другой путь кода для достижения той же цели. Комплексные проверки безопасности необходимы, а не только минимальные исправления.
• Цепочки транзитивных зависимостей усиливают риск. 52 миллиона еженедельных загрузок protobuf.js означают, что уязвимости распространяются через тысячи пакетов автоматически. Знание графа ваших зависимостей — это требование безопасности.
• npm audit недостаточен. Многие организации полагаются на автоматическое сканирование безопасности, но пропускают цикл обновления, потому что не проверяют версии транзитивных зависимостей. Ручная проверка критических зависимостей всё ещё необходима.

FAQ

Заключение

CVE-2026-41242 — один из самых значительных инцидентов безопасности цепочки поставок npm в 2026 году. Уязвимость внедрения кода с рейтингом CVSS 9.8 в protobuf.js — пакете с 52 миллионами еженедельных загрузок — демонстрирует, как одна несанитизированная интерполяция строк может скомпрометировать тысячи приложений.

Ситуация усугубилась цепочкой из 5 последующих CVE, обходящих первоначальное исправление, что подчёркивает важность комплексных проверок безопасности, а не минимальных патчей. Разработчики protobuf.js полностью устранили все известные векторы, и последние версии (7.6.4 и 8.6.3) безопасны.

Для разработчиков ключевой вывод очевиден: protobuf-определения, загружаемые из внешних источников — критическая поверхность атаки. Даже если вы используете только жёстко заданные .proto-файлы, ваш граф транзитивных зависимостей может быть уязвим. Запустите npm audit, проверьте дерево зависимостей и обновитесь до последних версий protobufjs сегодня.