🇰🇷 한글 설명
Electron 프레임워크에서 iframe을 통한 hid 및 usb 권한 확인 시, 요청한 프레임이 아닌 최상위 프레임의 origin 정보를 전달하는 취약점이 발견되었습니다. 이로 인해 신뢰할 수 없는 외부 iframe이 최상위 페이지의 권한을 탈취하여 장치에 접근할 수 있습니다. 해당 문제는 Electron 42.11.3, 43.7.0, 44.3.0, 45.0.0-alpha.5 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트 안에 삽입된 외부 광고나 다른 페이지가 원래는 접근할 수 없는 사용자의 USB나 특수 장치 권한을 몰래 가로챌 수 있는 문제입니다. 보안 검사 과정에서 '누가 요청했는지'를 잘못 확인하여 발생하는 오류입니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.5, hid and usb permission checks made from an iframe caused setPermissionCheckHandler to receive the top-level frame's origin and details instead of the requesting frame's. An application that delegated hid or usb to a cross-origin untrusted iframe and allowed device access with origin-based logic could therefore grant that embedded frame access intended for the top-level page. This issue is fixed in versions 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.5.
📍 영향받는 시스템
Electron versions prior to 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.5
⚔️ 공격 벡터
신뢰할 수 없는 외부 iframe을 통해 hid/usb 권한 요청을 보내 최상위 프레임의 권한을 오용함
🛡️ 대응 방법
Electron을 수정된 버전(42.11.3, 43.7.0, 44.3.0, 45.0.0-alpha.5 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Electron 버전을 확인하여 취약점이 해결된 버전인지 대조하십시오.
npm list electron | grep electron