Microsoft · Cmd.Exe · CVE-2024-56334
**Nome do software vulnerável e versões afetadas**
Versões do systeminformation anteriores à 5.23.7
**Descrição**
O problema está relacionado à função `getWindowsIEEE8021x` na biblioteca systeminformation para node.js, onde os SSIDs não são sanitizados antes de serem passados como parâmetro para o cmd.exe. Isso permite que conteúdo malicioso no SSID seja executado como comandos do sistema operacional, possibilitando que um invasor execute código remotamente ou escale privilégios localmente, dependendo de como o pacote é utilizado. A vulnerabilidade já foi explorada em um cenário real para escalar privilégios. Milhões de sistemas Node.js podem estar expostos a esse ataque.
**Recomendações**
Para versões do systeminformation anteriores à 5.23.7, atualize para a versão 5.23.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da função `getWindowsIEEE8021x` até que um patch seja aplicado. Evite usar a função `getWindowsIEEE8021x` com entradas de SSID não confiáveis. Restrinja o acesso ao comando `cmd.exe` para minimizar o risco de exploração.