systeminformation: Windows-Befehlsinjektion in services() via Unicode-Anführungszeichen

Zusammenfassung

systeminformation, eine Node.js-Bibliothek für System- und Betriebssysteminformationen, enthält auf Windows eine Befehlsinjektions-Schwachstelle in services(). Der Eingabefilter entfernt ASCII-Anführungszeichen, nicht aber Unicode-Anführungszeichen, die PowerShell als Zeichenkettenbegrenzer akzeptiert. Dadurch kann ein präparierter Dienstname PowerShell-Befehle einschleusen. Ein Angreifer kann Code mit den Rechten des Node.js-Prozesses ausführen, zugängliche Dateien lesen oder ändern, Anwendungsdaten verändern oder den Dienst stören. Voraussetzung ist, dass eine Anwendung vom Angreifer kontrollierte Eingaben an services() oder getDynamicData() weiterleitet.

Betroffen

• systeminformation vor 5.33.16 (der verwundbare Codepfad betrifft nur Windows)

Behoben in

• Auf systeminformation 5.33.16 oder neuer aktualisieren.
• Neuere Versionen existieren; vor dem Festlegen einer Version die aktuelle Version auf npm prüfen.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Umgehungsmassnahme. Als Übergangslösung nur plausible Windows-Dienstnamen zulassen, bevor die Eingabe services() oder getDynamicData() erreicht. Dies ist keine Herstellerkorrektur.

Ausnutzung

• Ausnutzung in freier Wildbahn bekannt: nicht festgestellt.
• Öffentlicher Proof of Concept: ja. Die GHSA enthält einen Reproduktionscode mit einer harmlosen Markieraktion; er wurde hier nicht unabhängig reproduziert.

Unsere Empfehlung

• Alle Node.js-Projekte und Lockfiles ermitteln, die systeminformation enthalten, einschliesslich transitiver Abhängigkeiten.
• Auf 5.33.16 oder neuer aktualisieren.
• Auf Windows-Hosts prüfen, ob benutzerkontrollierte Werte services() oder getDynamicData() erreichen können. Falls ja, eine strikte Eingabevalidierung einführen und das Update priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Commit 5014c6d: sanitizeShellString extended (Windows) github.com
• Release v5.33.16 github.com
• GitHub Security Advisory GHSA-3f7j-7jwc-fxfj github.com
• OSV entry GHSA-3f7j-7jwc-fxfj osv.dev
• GitLab advisory mirror CVE-2026-116576 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:15.