CVE-2023-46115

Tauri, tüm ana masaüstü platformları için ikili dosyalar oluşturmaya yarayan bir çerçevedir. Bu bildirim, Tauri kod tabanının kendisindeki bir güvenlik açığını değil; belirli bir yapılandırmada Vite ön yüzünü kullanan paketlenmiş Tauri uygulamalarında özel anahtarın ve güncelleyici anahtar şifresinin sızmasına yol açabilecek yaygın bir yanlış yapılandırmayı açıklamaktadır. Tauri dokümantasyonu, Tauri'nin Vite ile nasıl birlikte kullanılacağını göstermek için `Vite guide` kısmında güvenli olmayan bir örnek yapılandırma kullanmıştır. Bu kılavuzdaki `envPrefix: ['VITE_', 'TAURI_'],` kod parçacığının bir Tauri projesinin `vite.config.ts` dosyasına kopyalanması, `TAURI_PRIVATE_KEY` ve `TAURI_KEY_PASSWORD` değerlerinin Vite ön yüz koduyla birlikte paketlenmesine ve dolayısıyla bu değerlerin yayınlanan Tauri uygulamasına sızmasına neden olur. `envPrefix: ['VITE_'],` kullanımı veya Vite dışındaki herhangi bir çerçevenin kullanılması, bu bildirimin sizi etkilemediği anlamına gelir. Etkilenen kullanıcıların güncelleyici özel anahtarlarını döndürmeleri önerilir (Tauri CLI >=1.5.5 gerektirir). envPrefix yapılandırmasını güncelledikten sonra, `tauri signer generate` ile yeni bir özel anahtar oluşturun, yeni özel anahtarı kaydedin ve `tauri.conf.json` dosyasındaki güncelleyicinin `pubkey` değerini yeni genel anahtar ile güncelleyin. Mevcut uygulamanızı güncellemek için, mevcut uygulama tarafından kabul edilebilmesi adına bir sonraki uygulama derlemesinin eski özel anahtar ile imzalanmış olması gerekir.