🇰🇷 한글 설명
Electron 프레임워크의 <webview> 태그에서 발생하는 보안 취약점으로, 호스트 애플리케이션이 Node.js 통합을 비활성화했음에도 불구하고 웹 워커(Web Worker)에서 nodeIntegrationInWorker를 활성화할 수 있습니다. 이를 통해 신뢰할 수 없는 게스트 콘텐츠가 호스트가 허용한 것보다 더 높은 권한을 가진 Node.js 기반 워커를 생성할 수 있습니다. 해당 문제는 41.10.6, 42.9.2, 43.4.1 및 44.0.0-beta.5 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트를 보여주는 창에서 보안 설정을 막아두었음에도 불구하고, 몰래 컴퓨터 제어 권한을 가진 작업자를 만들어낼 수 있는 결함입니다. 이로 인해 악성 웹사이트가 사용자의 컴퓨터에 직접적인 명령을 내릴 위험이 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 41.10.6, 42.9.2, 43.4.1, and 44.0.0-beta.5, an Electron <webview> guest could enable nodeIntegrationInWorker for its Web Workers even when the unsandboxed embedder had Node.js integration disabled, allowing untrusted guest content to create a Node-enabled worker with more privilege than the embedder granted. Applications that do not enable the <webview> tag or that keep the embedder sandboxed are not affected. This issue is fixed in versions 41.10.6, 42.9.2, 43.4.1, and 44.0.0-beta.5.
📍 영향받는 시스템
Electron versions prior to 41.10.6, 42.9.2, 43.4.1, and 44.0.0-beta.5 (using <webview> without sandboxing)
⚔️ 공격 벡터
신뢰할 수 없는 웹 콘텐츠가 <webview> 내의 Web Worker를 통해 Node.js 권한을 획득하여 실행
🛡️ 대응 방법
Electron 버전을 41.10.6, 42.9.2, 43.4.1 또는 44.0.0-beta.5 이상으로 업데이트하거나 <webview> 사용 시 샌드박스를 활성화하십시오.
🔧 검증 코드
출력된 Electron 버전을 확인하여 취약점이 해결된 버전(41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5 이상)인지 대조하십시오.
npm list electron | grep electron