CVE-2026-39309
Təsvir
Trilium Notes böyük şəxsi bilik bazalarının qurulmasına yönəlmiş çarpaylı platformalı, iyerarxik qeyd götürmə tətbiqidir. 0.102.1 və daha əvvəlki versiyalarda Electron konfiqurasiyası Prompt Spoofing vasitəsilə TCC Bypass zəifliyinə malikdir ki, bu da lokal hücumçulara etibarlı tətbiqin kimliyi altında zərərli kod işlətməklə macOS-da yanlış icazə sorğularını tetikləməyə imkan verir. Problemin kökü ondadır ki, RunAsNode fuse-u tətbiqi xüsusi Node.js rejimində başlatmağa imkan verir və -e parametri ilə Trilium Notes-un icazələri və kimliyi ilə istənilən sistem əmrlərini icra edir. Hücumçu altproses (subprocess) vasitəsilə aparat təminatına (kamera, mikrofon) və TCC tərəfindən qorunan fayllara giriş kimi hər hansı həssas icazələri tələb edə bilər; macOS altprosesi ana tətbiqin bir hissəsi kimi qəbul etdiyi üçün TCC sistem sorğusu hücumçunun kodu tərəfindən deyil, sanki Trilium tərəfindən göndərilmiş kimi görünür. Bu boşluğun istismarı ekran, kamera, mikrofon və ~/Documents və ~/Downloads kimi qovluqlar kimi TCC tərəfindən qorunan resurslara girişi təmin edərək sosial mühəndislik yolu ilə macOS-un təhlükəsizlik modelini və UI bütövlüyünü sarsıdır. Bu problem 0.102.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| TriliumNext Trilium | < 0.102.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.