CVE-2024-39698
Təsvir
electron-updater Electron tətbiqləri üçün avtomatik yeniləmələrə imkan verir. `packages/electron-updater/src/windowsExecutableCodeSignatureVerifier.ts` faylı Windows-da Electron tətbiqləri üçün imza yoxlama rutinini həyata keçirir. Ətrafdakı shell səbəbindən `cmd.exe` tərəfindən ilk keçid əmr sətrində tapılan hər hansı mühit dəyişənini genişləndirir. Bu, `verifySignature()` funksiyasının yalnız yüklənmiş fayldan fərqli başqa bir faylın sertifikatını yoxlamağa aldadılması vəziyyəti yaradır. Əgər bu addım uğurlu olarsa, zərərli yeniləmə imzası etibarsız olsa belə icra olunacaq. Bu hücum kompromisə uğramış yeniləmə manifestini (server kompromisi, HTTP üzərindən əldə edildikdə Man-in-the-Middle hücumu, tətbiqi zərərli yeniləyici serverə yönəltmək üçün saytlararası skriptinq (XSS) və s.) nəzərdə tutur. Yamaq 6.3.0-alpha.6 versiyasından başlayaraq mövcuddur.
Necə düzəltmək olar
- electron-updater6.3.0-alpha.6 və ya daha yeni versiya
- electron electron-builder6.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| electron-updaternpm | v < 6.3.0-alpha.6 | 6.3.0-alpha.6 |
| electron electron-builder | v < 6.3.0, 6.3.0 | 6.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.