CVE-2024-27303
Açıklama
electron-builder; macOS, Windows ve Linux için dağıtıma hazır Electron ve Proton Native uygulamaları paketlemek ve oluşturmak için kullanılan bir çözümdür. Yalnızca Windows üzerinde electron-builder 24.13.2 öncesi sürümleri etkileyen bir güvenlik açığında, NSIS yükleyicisi `.nsh` yükleyici betiği aracılığıyla NSExec üzerinden cmd.exe'yi açmak için bir sistem çağrısı yapar. NSExec, varsayılan olarak `PATH` değişkenini aramadan önce yükleyicinin bulunduğu mevcut dizini arar. Bu durum, bir saldırganın yükleyici ile aynı klasöre cmd.exe adında kötü amaçlı bir yürütülebilir dosya yerleştirebilmesi durumunda, yükleyicinin bu kötü amaçlı dosyayı çalıştıracağı anlamına gelir. Sürüm 24.13.2 bu sorunu düzeltmektedir. Bilinen bir geçici çözüm bulunmamaktadır. Kod, uygulama sisteme kurulmadan önce yükleyici düzeyinde çalıştığından, mevcut bir yükleyicide bunun olup olmadığını kontrol etmenin bir yolu yoktur.
Nasıl düzeltilir
- electron electron-builder24.13.2 ya da sonraki bir sürüm
- app-builder-lib24.13.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electron electron-builder | v < 24.13.2 | 24.13.2 |
| app-builder-libnpm | v < 24.13.2 | 24.13.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.