Growl 1.10.0 より前のバージョンはコマンドインジェクションの脆弱性があります

この脆弱性を悪用された場合、攻撃者はサーバー上で任意のコードを実行できます。これにより、機密情報の窃取、データの改ざん、システムの破壊など、深刻な被害が発生する可能性があります。特に、growlが重要なシステムコンポーネントとして使用されている場合、その影響は甚大です。攻撃者は、この脆弱性を利用して、他のシステムへの横展開を試みる可能性もあります。この脆弱性は、Log4Shellのような深刻な脆弱性と同様に、広範囲にわたる影響を及ぼす可能性があります。

Applications and systems that rely on the growl Node.js module for notification functionality are at risk. This includes development environments, production servers, and any system where the module is integrated into custom applications. Specifically, systems that process untrusted user input and pass it directly to the growl module are particularly vulnerable.

• nodejs / server:

  npm list growl

If the output shows a version less than 1.10.0, the system is vulnerable. • nodejs / server:

  find / -name "growl*" -type d -print

This command searches for the growl module directory. Check the version within the directory. • nodejs / server:

  npm audit | grep growl

This command checks for known vulnerabilities in the growl module using npm audit.

1. 2017-12-28Discovery

   discovery

2. 2018-06-08Disclosure

   disclosure

3. 2018-06-08Patch

   patch

1. 公開日2018-06-08
2. 更新日2023-11-08
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、growlライブラリをバージョン1.10.0以降にアップデートすることです。もしアップデートが困難な場合は、入力のサニタイズを厳格に行うか、growlの使用を一時的に停止することを検討してください。WAF（Web Application Firewall）を導入し、悪意のあるコマンドの実行をブロックすることも有効な対策です。また、関連するログを監視し、不審なアクティビティを早期に検出することも重要です。