npm run check-security fails (Large gzip Denial of Service)

[ooby]

Description

npm run check-security fails

Steps to Reproduce

1. run npm run check-security

Actual result:

$ npm run check-security

> brave@0.21.0 check-security C:\dev\browser-laptop
> nsp check

(+) 1 vulnerabilities found
┌───────────────┬─────────────────────────────────────────────────────────────────┐
│               │ Large gzip Denial of Service                                    │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ Name          │ superagent                                                      │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ CVSS          │ 3.7 (Low)                                                       │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ Installed     │ 3.5.2                                                           │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ All                                                             │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ Patched       │ None                                                            │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > ledger-client@0.9.21 > bitgo@3.5.1 > superagent… │
├───────────────┼─────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/479                          │
└───────────────┴─────────────────────────────────────────────────────────────────┘

npm ERR! code ELIFECYCLE
npm ERR! errno 1
npm ERR! brave@0.21.0 check-security: `nsp check`
npm ERR! Exit status 1
npm ERR!
npm ERR! Failed at the brave@0.21.0 check-security script.
npm ERR! This is probably not a problem with npm. There is likely additional logging output above.

Expected result:
success

Reproduces how often: [What percentage of the time does it reproduce?]
100%

Brave Version

0.21.0

Additional information

Vulnerability opened 27th Sep. 2017

[zephinzer]

same here

[bsclifton]

Thanks for the report! Comment from @evq:

I don't think we're affected by this - an attacker would need to control the URL we're requesting. I don't think we're making use of the prefetch / remote capabilities of bloodhound in the browser. For ledger-client, the urls requested are always bitgo urls - so an attacker cannot control them.

I'll get a patch up soon

[bsclifton]

Looks like there's a few more ☹️ Stay tuned

[LaurenWags]

@bsclifton based on #11168 (comment) does that mean this isn't ready for testing?

[kjozwiak]

@bsclifton based on #11168 (comment) does that mean this isn't ready for testing?

It looks like all the issues have been resolved on the 0.19.x branch:

Kamils-MBP:browser-laptop kjozwiak$ git branch
* 0.19.x

Kamils-MBP:browser-laptop kjozwiak$ npm run check-security
> brave@0.19.23 check-security /Users/kjozwiak/projects/browser-laptop
> nsp check
(+) No known vulnerabilities found

However, it appears there's still a few issues being listed under the master branch:

Kamils-MBP:browser-laptop kjozwiak$ git branch
* master

Kamils-MBP:browser-laptop kjozwiak$ npm run check-security
brave@0.21.0 check-security /Users/kjozwiak/projects/browser-laptop
nsp check

(+) 6 vulnerabilities found
┌───────────────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Regular Expression Denial of Service                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ mime                                                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 7.5 (High)                                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 1.3.4                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ < 1.4.1 || > 2.0.0 < 2.0.3                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ >= 1.4.1 < 2.0.0 || >= 2.0.3                                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > ledger-client@0.9.21 > bitgo@3.5.1 > express@4.15.5 > send@0.15.6 > mime@1.3.4                                     │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/535                                                                                            │
└───────────────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Regular Expression Denial of Service                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ mime                                                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 7.5 (High)                                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 1.3.4                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ < 1.4.1 || > 2.0.0 < 2.0.3                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ >= 1.4.1 < 2.0.0 || >= 2.0.3                                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > ledger-client@0.9.21 > bitgo@3.5.1 > superagent@3.5.2 > mime@1.3.4                                                 │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/535                                                                                            │
└───────────────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Regular Expression Denial of Service                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ mime                                                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 7.5 (High)                                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 1.3.4                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ < 1.4.1 || > 2.0.0 < 2.0.3                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ >= 1.4.1 < 2.0.0 || >= 2.0.3                                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > url-loader@0.5.9 > mime@1.3.4                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/535                                                                                            │
└───────────────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Regular Expression Denial of Service                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ mime                                                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 7.5 (High)                                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 1.3.4                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ < 1.4.1 || > 2.0.0 < 2.0.3                                                                                                        │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ >= 1.4.1 < 2.0.0 || >= 2.0.3                                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > webtorrent-remote@2.0.2 > webtorrent@0.98.19 > mime@1.3.4                                                          │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/535                                                                                            │
└───────────────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Regular Expression Denial of Service                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ debug                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 3.7 (Low)                                                                                                                         │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 2.2.0                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ <= 2.6.8 || >= 3.0.0 <= 3.0.1                                                                                                     │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > ledger-client@0.9.21 > bitgo@3.5.1 > morgan@1.5.3 > debug@2.2.0                                                    │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/534                                                                                            │
└───────────────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Regular Expression Denial of Service                                                                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ debug                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 3.7 (Low)                                                                                                                         │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 2.6.7                                                                                                                             │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ <= 2.6.8 || >= 3.0.0 <= 3.0.1                                                                                                     │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                                                                                      │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ brave@0.21.0 > ledger-client@0.9.21 > bitgo@3.5.1 > body-parser@1.17.2 > debug@2.6.7                                              │
├───────────────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/534                                                                                            │
└───────────────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘

npm ERR! code ELIFECYCLE
npm ERR! errno 1
npm ERR! brave@0.21.0 check-security: `nsp check`
npm ERR! Exit status 1
npm ERR!
npm ERR! Failed at the brave@0.21.0 check-security script.
npm ERR! This is probably not a problem with npm. There is likely additional logging output above.

We should wait till all of the above issues are also fixed before going through testing.

[bsclifton]

This has now been fixed 😄
0.19.x 8ae5a2f (includes discussion)
0.20.x 28e1ea2
master c5a903c

cc: @LaurenWags @kjozwiak

[kjozwiak]

Used git log and ensured the above commits where inside the appropriate branches before running npm run check-security.

master branch - PASSED (didn't find any new vulnerabilities)

Kamils-MBP:browser-laptop kjozwiak$ git branch
* master

Kamils-MBP:browser-laptop kjozwiak$ npm run check-security
> brave@0.21.0 check-security /Users/kjozwiak/projects/browser-laptop
> nsp check
(+) No known vulnerabilities found

0.20.x branch - PASSED (didn't find any new vulnerabilities)

Kamils-MBP:browser-laptop kjozwiak$ git branch
* 0.20.x

Kamils-MBP:browser-laptop kjozwiak$ npm run check-security
> brave@0.20.0 check-security /Users/kjozwiak/projects/browser-laptop
> nsp check
(+) No known vulnerabilities found

0.19.x branch - PASSED (didn't find any new vulnerabilities)

Kamils-MBP:browser-laptop kjozwiak$ git branch
* 0.19.x

Kamils-MBP:browser-laptop kjozwiak$ npm run check-security
> brave@0.19.23 check-security /Users/kjozwiak/projects/browser-laptop
> nsp check
(+) No known vulnerabilities found