🇰🇷 한글 설명
node.js용 시스템 정보 라이브러리인 systeminformation의 5.6.4 미만 버전에서 명령 주입(Command Injection) 취약점이 발견되었습니다. 이 문제는 사용자 입력값에 대한 매개변수 검증 미흡으로 인해 발생하며, 최신 버전으로 업데이트하여 해결할 수 있습니다.
💡 쉬운 설명
컴퓨터 정보를 알려주는 프로그램에 나쁜 명령어를 몰래 끼워 넣어 실행할 수 있는 보안 구멍이 발견되었습니다. 해커가 이 구멍을 이용하면 컴퓨터를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
systeminformation is an open source system and OS information library for node.js. A command injection vulnerability has been discovered in versions of systeminformation prior to 5.6.4. The issue has been fixed with a parameter check on user input. Please upgrade to version >= 5.6.4. If you cannot upgrade, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() and other commands. Only allow strings, reject any arrays. String sanitation works as expected.
📍 영향받는 시스템
systeminformation library versions < 5.6.4
⚔️ 공격 벡터
si.inetLatency(), si.services() 등 특정 함수에 조작된 매개변수(배열 등)를 전달하여 명령 실행
🛡️ 대응 방법
systeminformation 라이브러리를 5.6.4 이상의 버전으로 업그레이드하거나 입력값에 대한 엄격한 문자열 검증 실시
🔧 검증 코드
출력된 결과에서 systeminformation의 버전이 5.6.4 미만인지 확인합니다.
npm list systeminformation