PT-2021-4725 · Npm · Systeminformation

Sebhildebrandt · Publicado 2021-03-15 · Atualizado 2021-05-05 · CVE-2021-21388

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do systeminformation anteriores à 5.6.4

Descrição

Foi descoberta uma vulnerabilidade de injeção de comando na biblioteca systeminformation para Node.js. Essa vulnerabilidade está relacionada a erros na passagem de dados para parâmetros de serviços como si.inetLatency, si.inetChecksite, si.services e si.processLoad. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto executasse código arbitrário. O problema foi corrigido com uma verificação de parâmetros na entrada do usuário.

Recomendações

Para versões anteriores à 5.6.4, atualize para a versão >= 5.6.4.

Se não for possível atualizar, verifique ou sanitize os parâmetros de serviço que são passados para funções como si.inetLatency(), si.inetChecksite(), si.services() e si.processLoad(), permitindo apenas strings e rejeitando quaisquer matrizes.

Correção

RCE

Command Injection

OS Command Injection

Enumeração de Fraquezas

CWE-20

CWE-77

CWE-78

Identificadores relacionados

BDU:2021-05431

CVE-2021-21388

GHSA-JFF2-QJW8-5476

Produtos afetados

Systeminformation

Referências · 13

• https://github.com/sebhildebrandt/systeminformation/commit/0be6fcd575c05687d1076d5cd6d75af2ebae5a46 · Correção
• https://github.com/sebhildebrandt/systeminformation/commit/01ef56cd5824ed6da1c11b37013a027fdef67524 · Correção
• https://github.com/sebhildebrandt/systeminformation/commit/7922366d707de7f20995fc8e30ac3153636bf35f · Correção
• https://github.com/sebhildebrandt/systeminformation/security/advisories/GHSA-jff2-qjw8-5476 · Nota
• https://t.me/cvenotify/13947 · Publicação no Telegram
• https://ibm.com/blogs/psirt/security-bulletin-vulnerabilities-in-apache-commons-and-node-js-affect-ibm-spectrum-protect-plus · Nota
• https://npmjs.com/package/systeminformation · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21388 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2021-21388 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21388 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-21388 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-05431 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jff2-qjw8-5476 · Aviso do Fabricante