原文

systeminformation は node.js 向けのシステムおよび OS 情報ライブラリです。バージョン 5.31.7 以前の Linux 環境において、networkInterfaces() は Debian/Ubuntu の interfaces(5) ファイル内の source ディレクティブを通じて OS コマンドインジェクションの脆弱性を含んでいます。これは lib/network.js の checkLinuxDCHPInterfaces() 関数が /etc/network/interfaces を読み込み、ファイル内容から source ＜path＞ トークンを抽出し、それを引用符なしで cat ${file} 2＞ /dev/null | grep 'iface\|source' として execSync(cmd, util.execOptsLinux) により実行するためです。このため、シェルのメタキャラクタを含むパスが networkInterfaces() を呼び出すすべてのプロセス（getStaticData() や getAllData() を含む）でコマンドを実行してしまう可能性があります。本問題はバージョン 5.31.7 で修正されています。