🇰🇷 한글 설명
Electron 프레임워크에서 외부 프로토콜 URL 요청 시 요청 주체가 실제 요청을 시작한 문서와 다르게 식별될 수 있는 취약점이 발견되었습니다. 이로 인해 신뢰할 수 없는 콘텐츠가 권한 요청 핸들러를 속여 OS에 등록된 외부 애플리케이션을 실행할 수 있습니다. 해당 문제는 Electron 42.11.3, 43.7.0, 44.3.0, 45.0.0-alpha.5 버전에서 수정되었습니다.
💡 쉬운 설명
나쁜 웹사이트가 마치 안전한 사이트인 것처럼 속여서 사용자의 컴퓨터에 설치된 다른 프로그램을 마음대로 실행할 수 있는 문제입니다. 이를 통해 공격자가 사용자의 의도와 상관없이 특정 프로그램을 강제로 열게 만들 수 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.5, requests to open external protocol URLs could be attributed to a document other than the one that initiated them, causing the requestingUrl passed to session.setPermissionRequestHandler to identify trusted content for a launch requested by untrusted content. An application that grants openExternal based on the requesting origin and allows untrusted content to open or navigate windows could therefore allow that content to launch an OS-registered external application. This issue is fixed in versions 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.5.
📍 영향받는 시스템
Electron versions prior to 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.5
⚔️ 공격 벡터
신뢰할 수 없는 콘텐츠를 통해 외부 프로토콜 URL 요청을 발생시켜 권한 확인 로직을 우회함
🛡️ 대응 방법
Electron을 수정된 버전(42.11.3, 43.7.0, 44.3.0, 45.0.0-alpha.5 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Electron의 버전을 확인하여 취약점이 해결된 버전인지 대조합니다.