CVE 데이터베이스CVE-2021-21315

최종 갱신 2026-06-17English Advisory →

CVE-2021-213157.8/HIGHCISA KEV 등재CWE-78CWE-78

Node.js systeminformation 패키지 커맨드 인젝션 취약점 (CVE-2021-21315)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

systeminformation

대상 컴포넌트 / 패키지

systeminformation

권고문 발행일

2021-02-16

CVSS v3.1

7.8

HIGH

30일 악용확률

90.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Node.js 환경에서 5.3.1 미만 버전의 'systeminformation' npm 라이브러리를 사용하는 애플리케이션

파급 효과

공격자가 매개변수 조작을 통해 시스템 명령어를 주입하고 실행하여 대상 서버의 제어권을 완전히 탈취할 수 있습니다

권장 조치

'systeminformation' 패키지를 최신 보안 패치가 적용된 5.3.1 이상 버전으로 즉시 업그레이드하십시오

영향받는 제품 및 버전 범위

systeminformation npm 패키지 5.3.1 미만 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

프로젝트의 의존성 트리를 검사하고 'systeminformation' 패키지를 안전한 버전(5.3.1 이상)으로 즉시 업데이트하십시오.

bash

# npm을 사용하는 경우
npm install systeminformation@5.3.1

# yarn을 사용하는 경우
yarn add systeminformation@5.3.1

# 취약한 버전이 간접 의존성으로 설치되어 있는지 확인
npm audit

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 애플리케이션 코드 레벨에서 systeminformation 함수로 전달되는 모든 매개변수 타입을 엄격히 검증해야 합니다. 배열 입력을 원천 차단하고 오직 문자열만 허용하도록 미들웨어나 유효성 검사 로직을 추가하십시오.

javascript

// Express.js 등 웹 프레임워크에서의 입력값 검증 예시
function sanitizeInput(req, res, next) {
  const target = req.body.target;
  
  // 배열 입력을 거부하고 오직 문자열만 허용
  if (Array.isArray(target) || typeof target !== 'string') {
    return res.status(400).json({ error: 'Invalid input type. Only strings are allowed.' });
  }
  next();
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 프로젝트 내에 취약한 버전이 설치되어 있는지 확인하고, 시스템 로그에서 비정상적인 명령어 실행 흔적을 탐지하는 스크립트입니다.

bash

# 프로젝트 내 설치된 systeminformation 버전 확인
npm list systeminformation

# 애플리케이션 서버 로그에서 세미콜론, 파이프 등 쉘 메타문자가 포함된 비정상 요청 탐지
grep -Ei '(\||;|\&|\`|\$)' /var/log/nodejs/app.log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

실제 공격에 악용되고 있는 취약점이므로, systeminformation 패키지를 즉시 5.3.1 이상 버전으로 업그레이드하여 인프라 보안을 확보하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-21315)은 Node.js 환경에서 시스템 정보를 수집하는 데 널리 사용되는 오픈소스 라이브러리인 'systeminformation'에서 발생하는 커맨드 인젝션(Command Injection) 취약점입니다. 취약점의 근본 원인은 si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() 등의 함수가 사용자로부터 전달받은 매개변수를 내부 시스템 명령어로 전달하는 과정에서 발생합니다. 라이브러리 내부에서 문자열(String) 입력값에 대해서는 살균(Sanitization) 처리가 정상적으로 수행되지만, 배열(Array) 형태로 전달된 입력값에 대해서는 적절한 검증 및 필터링을 수행하지 못해 악의적인 쉘 명령어가 그대로 실행되는 허점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 애플리케이션의 입력 폼이나 API 엔드포인트를 통해 문자열 대신 배열 형태의 페이로드를 전송합니다. 예를 들어, si.inetLatency('google.com')과 같이 문자열이 전달되어야 하는 매개변수에 ['google.com', '; touch /tmp/pwned;']와 같은 배열 구조를 주입합니다. 라이브러리 내부의 기존 검증 로직은 문자열 타입만을 대상으로 살균 처리를 수행하므로, 배열 타입의 입력은 검증을 우회하여 내부 쉘 실행 함수(예: child_process.exec)로 직접 전달됩니다. 이로 인해 세미콜론(;), 파이프(|), 앰퍼샌드(&) 등의 쉘 메타문자가 해석되면서 공격자가 의도한 임의의 시스템 명령어가 대상 서버에서 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, EPSS 점수가 0.90을 초과하여 실제 공격에 매우 활발히 악용되고 있는 고위험군 취약점입니다. 공격자가 이 취약점을 성공적으로 익스플로잇할 경우, 애플리케이션이 실행 중인 호스트 OS의 권한을 획득하여 민감한 환경 변수(API 키, 데이터베이스 자격 증명 등)를 탈취하거나, 내부 네트워크로 침투하기 위한 거점을 마련할 수 있습니다. 컨테이너 환경인 경우 컨테이너 탈출(Container Escape) 시도로 이어질 수 있어 비즈니스 인프라 전체에 심각한 침해 사고를 유발할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The System Information Library for Node.JS (npm package "systeminformation") is an open source collection of functions to retrieve detailed hardware, system and OS information. In systeminformation before version 5.3.1 there is a command injection vulnerability. Problem was fixed in version 5.3.1. As a workaround instead of upgrading, be sure to check or sanitize service parameters that are passed to si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... do only allow strings, reject any arrays. String sanitation works as expected.

https://github.com/sebhildebrandt/systeminformation/commit/07daa05fb06f24f96297abaa30c2ace8bfd8b525

출처: security-advisories@github.com · Patch

https://github.com/sebhildebrandt/systeminformation/security/advisories/GHSA-2m8v-572m-ff2v

출처: security-advisories@github.com · Third Party Advisory

https://lists.apache.org/thread.html/r8afea9a83ed568f2647cccc6d8d06126f9815715ddf9a4d479b26b05%40%3Cissues.cordova.apache.org%3E

출처: security-advisories@github.com · Issue Tracking, Mailing List

https://security.netapp.com/advisory/ntap-20210312-0007/

출처: security-advisories@github.com · Third Party Advisory

https://www.npmjs.com/package/systeminformation

출처: security-advisories@github.com · Product

https://github.com/sebhildebrandt/systeminformation/commit/07daa05fb06f24f96297abaa30c2ace8bfd8b525

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch