🇰🇷 한글 설명
Electron 프레임워크의 특정 버전에서 chrome.tabs.query() 함수가 권한이 없는 확장 프로그램에 탭의 URL과 제목을 반환하는 취약점이 발견되었습니다. 이를 통해 신뢰할 수 없는 확장 프로그램이 세션 내 모든 웹 콘텐츠의 URL과 제목을 읽을 수 있습니다. 해당 문제는 42.11.1, 43.5.1, 44.1.1, 45.0.0-alpha.4 버전에서 수정되었습니다.
💡 쉬운 설명
브라우저 확장 프로그램이 허락 없이 사용자가 방문 중인 웹사이트 주소와 제목을 몰래 훔쳐볼 수 있는 문제입니다. 보안이 취약한 확장 프로그램을 설치했을 때 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 42.11.1, 43.5.1, 44.1.1, and 45.0.0-alpha.4, chrome.tabs.query() returned each tab's url and title to extensions that had neither the tabs permission nor matching host permissions. An application that loaded an extension it did not fully trust through session.extensions.loadExtension could therefore allow that extension to read the URL and title of every webContents in its session. This issue is fixed in versions 42.11.1, 43.5.1, 44.1.1, and 45.0.0-alpha.4.
📍 영향받는 시스템
Electron versions prior to 42.11.1, 43.5.1, 44.1.1, and 45.0.0-alpha.4
⚔️ 공격 벡터
신뢰할 수 없는 확장 프로그램을 세션에 로드하여 권한 없이 탭 정보에 접근
🛡️ 대응 방법
Electron을 수정된 버전(42.11.1, 43.5.1, 44.1.1, 45.0.0-alpha.4 이상)으로 업데이트
🔧 검증 코드
출력된 Electron의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
npm list electron | grep electron