CVE-2017-12581
Açıklama
1.6.8 öncesindeki GitHub Electron, bir nodeIntegration atlatma zafiyeti nedeniyle uzaktan komut çalıştırılmasına izin verir. Bu durum, 1.6.8 veya daha eski sürümlere eşdeğer Electron kodu içeren tüm uygulamaları da etkilemektedir. Aynı Köken Politikası'nın (SOP) atlatılması bir ön koşuldur; ancak güncel Electron sürümleri katı bir SOP zorunluluğuna sahip değildir. Bir SOP atlatmanın, Electron tarafından dahili olarak kullanılan ayrıcalıklı bir URL ile birleştirilmesiyle, kullanıcının ana makinesinde işletim sistemi komutlarını çalıştırmak için yerel Node.js primitiflerini yürütmek mümkündü. Spesifik olarak, bir chrome-devtools://devtools/bundled/inspector.html penceresi, bir Node.js child_process.execFile API çağrısını eval etmek için kullanılabilirdi.
Nasıl düzeltilir
- electron1.6.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electron electron | v ≤ 1.6.7 | — |
| electronnpm | v < 1.6.8 | 1.6.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.