🇰🇷 한글 설명
Node.JS용 시스템 정보 라이브러리인 systeminformation의 5.0.0부터 5.21.6 버전에서 SSID 명령 주입 취약점이 발견되었습니다. 이 문제는 5.21.7 버전에서 매개변수 검사를 통해 해결되었습니다. 임시 방편으로는 wifiConnections() 및 wifiNetworks() 함수에 전달되는 문자열 매개변수를 검증하거나 정화해야 합니다.
💡 쉬운 설명
컴퓨터 정보를 알려주는 프로그램에서 악성 명령어를 몰래 끼워 넣을 수 있는 보안 구멍이 발견되었습니다. 해커가 이 구멍을 이용하면 사용자의 컴퓨터를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
systeminformation is a System Information Library for Node.JS. Versions 5.0.0 through 5.21.6 have a SSID Command Injection Vulnerability. The problem was fixed with a parameter check in version 5.21.7. As a workaround, check or sanitize parameter strings that are passed to `wifiConnections()`, `wifiNetworks()` (string only).
📍 영향받는 시스템
systeminformation library versions 5.0.0 through 5.21.6
⚔️ 공격 벡터
wifiConnections() 또는 wifiNetworks() 함수에 조작된 SSID 문자열을 입력하여 명령 주입(Command Injection) 수행
🛡️ 대응 방법
systeminformation 라이브러리를 5.21.7 버전 이상으로 업데이트하거나 입력값에 대한 검증 로직 추가
🔧 검증 코드
출력된 버전이 5.21.6 이하인지 확인하여 취약 여부를 판단합니다.
npm list systeminformation