Prototype pollution attack in hoek@2.16.3 used by hawk@6.0.2

Summary

Updating to request 2.85.0 alerted me to 2 security vulns shown in https://nodesecurity.io/advisories/566

Simplest Example to Reproduce

Simply run nsp check

Expected Behavior

No security vulns in request

Current Behavior

> nsp check
(+) 2 vulnerabilities found
┌───────────────┬──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Prototype pollution attack                                                                                                                                                                                                                                                   │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ hoek                                                                                                                                                                                                                                                                         │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 4 (Medium)                                                                                                                                                                                                                                                                   │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 2.16.3                                                                                                                                                                                                                                                                       │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ <= 4.2.0 || >= 5.0.0 < 5.0.3                                                                                                                                                                                                                                                 │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ > 4.2.0 < 5.0.0 || >= 5.0.3                                                                                                                                                                                                                                                  │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ identity-webapp@1.0.0 > request@2.85.0 > hawk@6.0.2 > boom@2.10.1 > hoek@2.16.3                                                                                                                                                                                              │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/566                                                                                                                                                                                                                                       │
└───────────────┴──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│               │ Prototype pollution attack                                                                                                                                                                                                                                                   │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Name          │ hoek                                                                                                                                                                                                                                                                         │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ CVSS          │ 4 (Medium)                                                                                                                                                                                                                                                                   │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Installed     │ 2.16.3                                                                                                                                                                                                                                                                       │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Vulnerable    │ <= 4.2.0 || >= 5.0.0 < 5.0.3                                                                                                                                                                                                                                                 │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Patched       │ > 4.2.0 < 5.0.0 || >= 5.0.3                                                                                                                                                                                                                                                  │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Path          │ identity-webapp@1.0.0 > request@2.85.0 > hawk@6.0.2 > hoek@2.16.3                                                                                                                                                                                                            │
├───────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ More Info     │ https://nodesecurity.io/advisories/566                                                                                                                                                                                                                                       │
└───────────────┴──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘

Possible Solution

Use a later version of hawk that uses a fixed version of hoek

Context

CVSS level 4, we have 30-60 days to fix this in our apps.

Your Environment

software	version
request	2.85.0
node	8.9.3
npm	3.8.6
Operating System	OS X Sierra

[ghost]

For information I managed to sort this by removing the shrinkwrap file then updating request and radium. This seemed to install the correct versions and now no security issues.

[ghost]

Thanks Ben, I guess we can consider this closed and I’ll have to work out where in our tree we end up with an out-of-date version of hoek.

Unfortunately at the moment we’re stuck on npm 3.8.6 which doesn’t help matters and archaic apps that need updating.