Npm package · System Information Library for Node.JS
CVE-2021-21315
Command Injection Vulnerability
چیست
The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.
CISA: In this vulnerability, an attacker can send a malicious payload that will exploit the name parameter. After successful exploitation, attackers can execute remote.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۱ فوریهٔ ۲۰۲۲
- افزوده‌شده به فهرست CISA
- ۱۸ ژانویهٔ ۲۰۲۲
- منتشرشده
- ۱۶ فوریهٔ ۲۰۲۱
- شدت
- بالا ۷٫۱ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۹۱% در ۰٫۲% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-78
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (5)
- https://www.npmjs.com/package/systeminformation
- https://github.com/sebhildebrandt/systeminformation/security/advisories/GHSA-2m8v-572m-ff2v
- https://github.com/sebhildebrandt/systeminformation/commit/07daa05fb06f24f96297abaa30c2ace8bfd8b525
- https://lists.apache.org/thread.html/r8afea9a83ed568f2647cccc6d8d06126f9815715ddf9a4d479b26b05%40%3Cissues.co…
- https://security.netapp.com/advisory/ntap-20210312-0007/
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.