🇰🇷 한글 설명
npm windows-cpu 패키지의 모든 버전이 명령어 주입 취약점을 가지고 있어, 공격자가 Node.js 사용자 권한으로 임의의 코드를 실행할 수 있습니다. 입력 검증 부재로 인해 악의적인 CPU 정보 매개변수를 통한 공격이 가능합니다.
💡 쉬운 설명
windows-cpu라는 npm 도구를 사용할 때 누군가 악의적인 명령어를 몰래 삽입해서 컴퓨터를 원하는 대로 조종할 수 있습니다. 보안 검사 없이 입력을 직접 실행하기 때문입니다.
🇺🇸 원문 (English)
npm/KyleRoss windows-cpu all versions vulnerable to command injection resulting in code execution as Node.js user
📍 영향받는 시스템
npm windows-cpu 패키지 모든 버전
⚔️ 공격 벡터
프로그램 입력 값(CPU 정보 조회 매개변수)에 쉘 메타문자(;, |, &, $() 등)를 포함시켜 임의 명령어 실행
🛡️ 대응 방법
windows-cpu 패키지 사용 중단 또는 보안 패치 버전 업데이트 (패키지 조회 필수)
🔧 검증 코드
windows-cpu 패키지가 설치되어 있으면 버전 정보가 표시되고, 설치되지 않았으면 'not installed'가 출력됩니다. 설치된 경우 즉시 제거 또는 업데이트 필요.
npm ls windows-cpu 2>/dev/null || echo 'not installed'