JVNDB-2026-026028

Sebastian HildebrandtのsysteminformationにおけるOS コマンドインジェクションの脆弱性

systeminformation は node.js 向けのシステムおよび OS 情報ライブラリです。バージョン 5.31.7 以前の Linux 環境において、networkInterfaces() は Debian/Ubuntu の interfaces(5) ファイル内の source ディレクティブを通じて OS コマンドインジェクションの脆弱性を含んでいます。これは lib/network.js の checkLinuxDCHPInterfaces() 関数が /etc/network/interfaces を読み込み、ファイル内容から source ＜path＞ トークンを抽出し、それを引用符なしで cat ${file} 2＞ /dev/null | grep 'iface\|source' として execSync(cmd, util.execOptsLinux) により実行するためです。このため、シェルのメタキャラクタを含むパスが networkInterfaces() を呼び出すすべてのプロセス（getStaticData() や getAllData() を含む）でコマンドを実行してしまう可能性があります。本問題はバージョン 5.31.7 で修正されています。

Sebastian Hildebrandt

• systeminformation 5.31.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : systeminformation: OS command injection in networkInterfaces() via interfaces(5) source-directive path on Linux  Advisory  sebhildebrandt/systeminformation  GitHub

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-50289

1. National Vulnerability Database (NVD) : CVE-2026-50289
2. 関連文書 : Release v5.31.7  sebhildebrandt/systeminformation  GitHub
3. 関連文書 : networkInterfaces() fix unsanitized command (linux)  sebhildebrandt/systeminformation@bbfddde  GitHub

• [2026年07月30日]
    掲載