🇰🇷 한글 설명
Electron 프레임워크의 특정 버전에서 GPU 프로세스로부터 전달받은 프레임 데이터를 메인 프로세스가 완전히 검증하지 않는 취약점이 발견되었습니다. 공격자가 GPU 프로세스에서 코드를 실행할 수 있다면, 일관되지 않은 프레임 기하학 정보를 제공하여 메인 프로세스의 메모리 범위를 벗어난 읽기(Out-of-bounds read)를 유발하고 메모리 정보 유출이나 애플리케이션 충돌을 일으킬 수 있습니다.
💡 쉬운 설명
그래픽을 처리하는 부분에서 잘못된 정보를 보내면 프로그램의 중요한 메모리 내용을 훔쳐보거나 프로그램을 강제로 종료시킬 수 있는 문제입니다. 이미 그래픽 처리 권한을 가진 공격자가 이 취약점을 이용해 더 큰 피해를 입힐 수 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 42.11.6, 43.7.3, 44.4.3, and 45.0.0-alpha.9, frame data received from the GPU process for webContents.beginFrameSubscription was not fully validated by the main process. An attacker who had separately gained code execution in the GPU process could supply inconsistent frame geometry and cause the main process to read out-of-bounds memory while producing captured frame images, disclosing memory or crashing the application. This issue is fixed in versions 42.11.6, 43.7.3, 44.4.3, and 45.0.0-alpha.9.
📍 영향받는 시스템
Electron versions prior to 42.11.6, 43.7.3, 44.4.3, and 45.0.0-alpha.9
⚔️ 공격 벡터
GPU 프로세스 내 코드 실행 권한을 획득한 공격자가 조작된 프레임 데이터를 메인 프로세스로 전달
🛡️ 대응 방법
Electron을 42.11.6, 43.7.3, 44.4.3 또는 45.0.0-alpha.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 Electron 버전을 확인하여 취약점이 해결된 버전(42.11.6, 43.7.3, 44.4.3, 45.0.0-alpha.9 이상)인지 대조