• 我的位置：
  • 正规网赌十大娱乐棋牌
  • -
  • 漏洞预警
  • -
  • 中间件
  • -
    • node.js systeminformation模块远程代码执行漏洞
    • cnnvd编号：未知
    • 危害等级： 高危 
    • cve编号：未知
    • 漏洞类型： 远程代码执行
    • 威胁类型：远程
    • 厂       商：未知
    • 漏洞来源：深信服
    • 发布时间：2021-03-11
    • 更新时间：2021-03-11

    漏洞简介

    1、组件介绍

    node.js发布于2009年5月，由ryan dahl开发，是一个基于chrome v8引擎的javascript运行环境，使用了一个事件驱动、非阻塞式i/o模型，让javascript 运行在服务端的开发平台，它让javascript成为与php、python、perl、ruby等服务端语言平起平坐的脚本语言。

    node.js-systeminformation是用于获取各种系统信息的node.js模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息。自发布至今，systeminformation软件包下载次数近3400万。

    2、漏洞描述

    近日，深信服安全团队监测到一则node.js systeminformation模块存在远程代码执行漏洞的信息，漏洞编号：cve-2021-21315，漏洞危害：高危。该漏洞是由于systeminformation未对指定参数进行过滤，导致可以进行命令注入，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终获取服务器最高权限。

    3、补丁分析


    通过补丁可以发现，systeminformation对参数验证逻辑进行了完善，以防止了漏洞的产生与利用。


    漏洞公示

    搭建node.js systeminformation模块4.34.15版本环境，复现该漏洞，效果如下：

     



    参考网站

    暂无

    受影响实体

    node.js可以运行在几乎所有计算机平台上，由于其跨平台和安全性被广泛使用，成为javascript在服务端运行的主流方式。全球有数万 web服务器采用 node.js，可能受漏洞影响的资产广泛分布于世界各地，中国大陆省份中，浙江、广东、山东、北京、上海等省市接近 70%，今年曝出的漏洞为高危漏洞，需要引起用户的高度重视。


    目前受影响的systeminformation版本：

    systeminformation <   5.3.1

    补丁

    1、如何检测组件系统版本

    在node_mudules同级目录下找到package-loca.json文件并打开，

    在里面搜索systeminfomation，可以查看到相应的版本。

    2、官方修复建议

    当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

    3、深信服正规网赌十大娱乐棋牌的解决方案

    【深信服下一代防火墙】可轻松防御此漏洞， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。

    【深信服云盾】已第一时间从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。

    【深信服安全感知平台】可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。

    【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。在漏洞爆发之初，云端安全专家即对客户的网络环境进行漏洞扫描，保障第一时间检查客户的主机是否存在此漏洞。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。