CVE-2022-29247
Açıklama
Electron, JavaScript (JS), HTML ve CSS kullanarak platformlar arası masaüstü uygulamaları yazmak için bir çerçevedir. 18.0.0-beta.6, 17.2.0, 16.2.6 ve 15.5.5 sürümlerinden önceki sürümlerdeki bir güvenlik açığı, JS yürütme yeteneğine sahip bir renderer'ın `nodeIntegrationInSubFrames` etkinleştirilmiş yeni bir renderer sürecine erişim elde etmesine olanak tanır ve bu da `ipcRenderer`'a etkin erişim sağlar. `nodeIntegrationInSubFrames` seçeneği örtük olarak Node.js erişimi vermez. Bunun yerine mevcut sandbox ayarına bağlıdır. Bir uygulama sandboxed ise, `nodeIntegrationInSubFrames` yalnızca `ipcRenderer` içeren sandboxed renderer API'lerine erişim sağlar. Uygulama ayrıca IPC `senderFrame` doğrulaması olmadan ayrıcalıklı eylemler gerçekleştiren veya gizli veriler döndüren IPC mesajlarını açığa çıkarırsa, `ipcRenderer`'a bu erişim sandbox etkin olsa bile uygulamanızı / kullanıcınızı tehlikeye atabilir. Electron 18.0.0-beta.6, 17.2.0, 16.2.6 ve 15.5.5 sürümleri bu sorun için bir düzeltme içerir. Geçici bir çözüm olarak, tüm IPC mesaj işleyicilerinin `senderFrame`'i uygun şekilde doğruladığından emin olun.
Nasıl düzeltilir
- electronjs electron15.5.5, 16.2.6, 17.2.0 ya da sonraki bir sürüm
- electron15.5.5, 16.2.6, 17.2.0, 18.0.0-beta.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electronjs electron | v < 15.5.5, 16.0.1 ≤ v < 16.2.6, 17.0.1 ≤ v < 17.2.0, 16.0.0, 17.0.0, 18.0.0 | 15.5.5, 16.2.6, 17.2.0 |
| electronnpm | v < 15.5.5, 16.0.0 ≤ v < 16.2.6, 17.0.0 ≤ v < 17.2.0, 18.0.0-beta.1 ≤ v < 18.0.0-beta.6 | 15.5.5, 16.2.6, 17.2.0, 18.0.0-beta.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.