System Information Library for Node.JS Command Injection
Node.JS용 System Information Library(npm 패키지 "systeminformation")는 하드웨어, 시스템 및 OS의 상세 정보를 가져오는 함수들의 오픈 소스 모음입니다. version 5.3.1 이전 systeminformation에는 명령 삽입 취약점이 있습니다. 이 문제는 version 5.3.1에서 수정되었습니다. 업그레이드 대신 사용할 수 있는 해결 방법으로, si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() 등에 전달되는 서비스 매개변수를 반드시 검사하거나 정제하십시오. 문자열만 허용하고 모든 배열을 거부하십시오. 문자열 정제는 예상대로 작동합니다.
Node.JS용 System Information Library(npm 패키지 "systeminformation")는 하드웨어, 시스템 및 OS의 상세 정보를 가져오는 함수들의 오픈 소스 모음입니다. version 5.3.1 이전 systeminformation에는 명령 삽입 취약점이 있습니다. 이 문제는 version 5.3.1에서 수정되었습니다. 업그레이드 대신 사용할 수 있는 해결 방법으로, si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() 등에 전달되는 서비스 매개변수를 반드시 검사하거나 정제하십시오. 문자열만 허용하고 모든 배열을 거부하십시오. 문자열 정제는 예상대로 작동합니다.
한국어 설명은 영문 원문을 기준으로 제공됩니다. 제품명·버전·보안 식별자는 아래 원문과 함께 확인할 수 있습니다.
영문 원문 보기
The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.
영향 제품·버전
제품 Npm package System Information Library for Node.JS
영향 버전 Npm package System Information Library for Node.JS < 5.3.1, 10.0.0
수정 버전 Npm package System Information Library for Node.JS 5.3.1
Npm package System Information Library for Node.JS의 현재 전체 버전이 공식 영향 범위(Npm package System Information Library for Node.JS < 5.3.1, 10.0.0)에 포함되는지 확인합니다. OS를 선택하면 해당 OS의 제품·패키지·KB·APAR 확인 명령만 표시됩니다.
조치방안
Apply updates per vendor instructions.
조치 후 확인사항
패치 후 같은 명령으로 전체 버전을 다시 확인해 Npm package System Information Library for Node.JS 5.3.1 기준을 충족하는지 확인합니다. 이어서 명령어·코드 인젝션 관련 오류·공격 흔적이 새로 발생하지 않는지 확인합니다.
