CVE-2024-39698
Açıklama
electron-updater, Electron uygulamaları için otomatik güncellemelere olanak tanır. `packages/electron-updater/src/windowsExecutableCodeSignatureVerifier.ts` dosyası, Windows üzerindeki Electron uygulamaları için imza doğrulama rutinini uygular. Çevreleyen kabuk nedeniyle, `cmd.exe` tarafından yapılan ilk geçiş, yukarıdaki komut satırında bulunan tüm ortam değişkenlerini genişletir. Bu durum, `verifySignature()` fonksiyonunun, az önce indirilen dosyadan farklı bir dosyanın sertifikasını doğrulamaya zorlanabileceği bir senaryo oluşturur. Eğer bu adım başarılı olursa, imzası geçersiz olsa bile kötü amaçlı güncelleme çalıştırılacaktır. Bu saldırı; ele geçirilmiş bir güncelleme manifestosu olduğunu varsayar (sunucu ihlali, HTTP üzerinden alındıysa Ortadaki Adam saldırısı, uygulamayı kötü amaçlı bir güncelleme sunucusuna yönlendirmek için Siteler Arası Betik Çalıştırma (XSS) vb.). Yama, 6.3.0-alpha.6 sürümünden itibaren mevcuttur.
Nasıl düzeltilir
- electron-updater6.3.0-alpha.6 ya da sonraki bir sürüm
- electron electron-builder6.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electron-updaternpm | v < 6.3.0-alpha.6 | 6.3.0-alpha.6 |
| electron electron-builder | v < 6.3.0, 6.3.0 | 6.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.