🇰🇷 한글 설명
systeminformation 라이브러리에서 Windows 시스템에서 OS 명령어 주입 취약점이 발견되었습니다. 이 취약점은 `fsSize()` 함수에서 사용자 입력을 제대로 필터링하지 않아任意의 명령어 실행이 가능합니다.
💡 쉬운 설명
systeminformation 라이브러리의 `fsSize()` 함수에서 사용자 입력을 제대로 필터링하지 않아任意의 명령어 실행이 가능합니다. 이는 사용자 입력이 이 함수에 전달될 때 발생하며, 실제 공격 가능성은 이 함수를 사용하는 애플리케이션에 따라 다릅니다.
🇺🇸 원문 (English)
systeminformation is a System and OS information library for node.js. In versions prior to 5.27.14, the `fsSize()` function in systeminformation is vulnerable to OS command injection on Windows systems. The optional `drive` parameter is directly concatenated into a PowerShell command without sanitization, allowing arbitrary command execution when user-controlled input reaches this function. The actual exploitability depends on how applications use this function. If an application does not pass user-controlled input to `fsSize()`, it is not vulnerable. Version 5.27.14 contains a patch.
📍 영향받는 시스템
systeminformation 라이브러리 버전 5.27.14 이전의 Windows 시스템
⚔️ 공격 벡터
사용자 입력을 `fsSize()` 함수에 전달하여任意의 명령어 실행
🛡️ 대응 방법
systeminformation 라이브러리 버전을 5.27.14 이상으로 업그레이드
🔧 검증 코드
로컬 시스템에서 npm을 사용하여 systeminformation 라이브러리 버전을 확인합니다. npm이 설치되어 있고, systeminformation 라이브러리가 설치되어 있어야 합니다. 코드를 실행하면 systeminformation 라이브러리 버전이 5.27.14 이상인지 확인하고, 결과를 JSON 형식으로 출력합니다.
import subprocess
result = subprocess.run(['npm', 'ls', 'systeminformation'], capture_output=True, text=True)
if '5.27.14' in result.stdout:
print({"result": "양호", "reason": "systeminformation 라이브러리 버전이 5.27.14 이상"})
else:
print({"result": "취약", "reason": "systeminformation 라이브러리 버전이 5.27.14 미만"})