CVE-2026-50289

Command injection w bibliotece systeminformation — funkcja networkInterfaces()

CVSS 8.7v4.0pub. 2026-07-17upd. 2026-07-29

Biblioteka systeminformation dla Node.js w wersjach przed 5.31.7 jest podatna na OS command injection w funkcji networkInterfaces() na systemach Linux (Debian/Ubuntu). Atakujący z możliwością modyfikacji pliku /etc/network/interfaces może wykonać dowolne polecenia systemowe w kontekście procesu wywołującego tę funkcję.

▸ Pokaż oryginał (EN)

systeminformation is a System and OS information library for node.js. Prior to 5.31.7, networkInterfaces() on Linux is vulnerable to OS command injection through the Debian/Ubuntu interfaces(5) source directive because lib/network.js checkLinuxDCHPInterfaces() reads /etc/network/interfaces, extracts a source <path> token from file content, and interpolates it unquoted into cat ${file} 2> /dev/null | grep 'iface\|source' executed by execSync(cmd, util.execOptsLinux), allowing a path containing shell metacharacters to execute commands in any process that calls networkInterfaces(), including via getStaticData() and getAllData(). This issue is fixed in version 5.31.7.

🤖 Analiza AI

Jak działa

Funkcja checkLinuxDCHPInterfaces() w pliku lib/network.js odczytuje zawartość pliku /etc/network/interfaces i wyodrębnia z niej ścieżkę podaną po dyrektywie source. Wyodrębniona ścieżka jest następnie wstawiana bez cytowania ani sanityzacji bezpośrednio do polecenia cat ${file} 2> /dev/null | grep 'iface\|source', które jest wykonywane przez execSync(). Jeśli ścieżka zawiera specjalne znaki powłoki (shell metacharacters), interpreter powłoki wykona osadzony w niej kod. Podatność jest osiągalna również pośrednio poprzez funkcje getStaticData() oraz getAllData().

Skutki

Atakujący może wykonać dowolne polecenia systemu operacyjnego w kontekście procesu Node.js wywołującego podatną funkcję, co może prowadzić do pełnego przejęcia kontroli nad aplikacją, kradzieży danych lub eskalacji uprawnień.

Mitygacja

Należy zaktualizować bibliotekę systeminformation do wersji 5.31.7 lub nowszej, w której problem został naprawiony. Szczegóły poprawki dostępne są w repozytorium GitHub projektu oraz w oficjalnym security advisory GHSA-5xpp-75jx-m839.

Kogo dotyczy

Biblioteka systeminformation dla Node.js w wersjach przed 5.31.7, działająca na systemach Linux z rodziny Debian/Ubuntu, gdy plik /etc/network/interfaces zawiera dyrektywę source.

Uwagi

Poprawka została wprowadzona w commicie bbfddde48672d0ee124fefdb3cb4442fd9dd4f03 w repozytorium GitHub projektu sebhildebrandt/systeminformation.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X