🇰🇷 한글 설명
Node.JS용 시스템 정보 라이브러리인 'systeminformation' 5.3.1 미만 버전에서 커맨드 인젝션 취약점이 발견되었습니다. 공격자가 조작된 매개변수를 전달할 경우 시스템 명령어를 실행할 수 있는 위험이 있습니다.
💡 쉬운 설명
컴퓨터 정보를 알려주는 프로그램에 보안 구멍이 있어, 나쁜 명령어를 몰래 끼워 넣을 수 있는 상태입니다. 이 명령어가 실행되면 해커가 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.
📍 영향받는 시스템
systeminformation npm package version < 5.3.1
⚔️ 공격 벡터
si.inetLatency(), si.services() 등 특정 함수에 배열 형태의 조작된 매개변수를 전달하여 명령 실행
🛡️ 대응 방법
systeminformation 패키지를 5.3.1 버전 이상으로 업데이트하거나, 입력값에 대해 문자열 여부를 검증하고 배열을 차단함
🔧 검증 코드
출력된 결과에서 systeminformation의 버전이 5.3.1 미만인지 확인합니다.
npm list systeminformation