Injection de commande OS dans systeminformation (CVE-2026-50289)
Résumé
Injection de commande OS dans systeminformation (CVE-2026-50289). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via systeminformation. Atténuation : mise à jour vers 5.31.7 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
On Linux, systeminformation's networkInterfaces() is vulnerable to OS command injection through the Debian/Ubuntu interfaces(5) source directive. While collecting per-interface DHCP state, the library reads /etc/network/interfaces and, for every source line it encounters, extracts the path token from the file content and interpolates it unquoted into a shell command string that is run via execSync(). A source line whose path contains shell metacharacters executes arbitrary commands with the privileges of the calling Node.js process.
This is the same root-cause class as the previously-fixed NetworkManager-connection-name injection in this file: a value parsed out of local system state is re-interpolated into a shell command string without sanitization. The NetworkManager paths were converted to argument-array execution, but the interfaces(5) source-recursion sink in checkLinuxDCHPInterfaces() was left unfixed and still builds a shell string. The input to this sink is unsanitized (unlike the iface/connectionName paths, which pass through util.sanitizeString in strict mode before reaching their commands).
Impact
An attacker who can place or influence a sourced path in /etc/network/interfaces (or any file it transitively sources) achieves command execution inside any process that calls networkInterfaces(). Realistic affected deployments are the same ones that motivate this library:
- local inventory / asset agents…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-50289 a été découverte dans systeminformation.
Des attaquants peuvent cibler un point d'entrée spécifique comme systeminformation à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : mettez à jour systeminformation vers 5.31.7 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « systeminformation CVE-2026-50289 » sur le site de l'éditeur.
CVE-2026-50289 (systeminformation) — CWE-78 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : systeminformation / source / iface / connectionName
Correctif : 5.31.7 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection de commande OS (CWE-78) affecte systeminformation. Les attaquants atteignent le code vulnérable via systeminformation.
Consultez l'avis de l'éditeur pour les versions affectées de systeminformation. Surface d'attaque : systeminformation / source / iface / connectionName.
Gravité : Élevée (CVSS 8.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 5.31.7.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'systeminformation' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
systeminformationを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade systeminformation to 5.31.7ステージング環境で 5.31.7 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-50289 node-systeminformation Corrigé dans: 5.31.7-1
- Ubuntu UBUNTU-CVE-2026-50289 node-systeminformation
Références
- exploit github.com
- patch security-advisories@github.com
- web security-advisories@github.com
- web github.com