CVE-2022-36077
Açıklama
Electron framework; JavaScript, HTML ve CSS kullanarak platformlar arası masaüstü uygulamaları yazılmasına olanak tanır. 21.0.0-beta.1, 20.0.1, 19.0.11 ve 18.3.7 öncesindeki sürümlerde Electron, Hassas Bilgilerin İfşası (Exposure of Sensitive Information) zafiyetine sahiptir. Bir yönlendirme takip edilirken Electron, diğer şemalardan file:// URL'lerine yapılan yönlendirmelerin kontrolünü geciktirir. Dosyanın içeriği yönlendirmeyi takip eden renderer için erişilebilir değildir ancak yönlendirme hedefi `file://some.website.com/` gibi bir SMB URL'si ise bazı durumlarda Windows bu sunucuya bağlanacak ve özetlenmiş kimlik bilgilerinin gönderilmesini içerebilen NTLM kimlik doğrulaması deneyecektir. Bu sorun şu sürümlerde düzeltilmiştir: 21.0.0-beta.1, 20.0.1, 19.0.11 ve 18.3.7. Kullanıcıların Electron'un en güncel kararlı sürümüne yükseltme yapmaları önerilir. Yükseltmenin mümkün olmadığı durumlarda, geçici bir çözüm olarak tüm WebContents için `WebContents.on('will-redirect')` olayında file:// URL'lerine yapılan yönlendirmeler engellenerek bu sorun giderilebilir.
Nasıl düzeltilir
- electronjs electron18.3.7, 19.0.11, 20.0.1 ya da sonraki bir sürüm
- electron18.3.7, 20.0.1, 19.0.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electronjs electron | v < 18.3.7, 19.0.0 ≤ v < 19.0.11, 20.0.0 ≤ v < 20.0.1, 21.0.0 | 18.3.7, 19.0.11, 20.0.1 |
| electronnpm | v < 18.3.7, 20.0.0-beta.1 ≤ v < 20.0.1, 19.0.0-beta.1 ≤ v < 19.0.11 | 18.3.7, 20.0.1, 19.0.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.