🇰🇷 한글 설명
Electron은 JavaScript, HTML, CSS로 크로스 플랫폼 데스크톱 애플리케이션을 개발하는 프레임워크입니다. 42.11.16, 43.8.1, 44.9.1, 45.0.0-beta.6 이전 버전에서는 Chromium 네트워킹, Node.js tls, https, fetch가 손상된 eMudhra 중간 인증서를 차단하지 않습니다. 이 중간 인증서로 발급된 인증서를 보유한 공격자가 네트워크 트래픽을 가로챌 수 있다면 영향받는 애플리케이션에 대해 TLS 서버로 위장할 수 있습니다.
💡 쉬운 설명
Electron으로 만든 데스크톱 앱이 특정 인증기관의 손상된 인증서를 신뢰하는 문제가 있습니다. 공격자가 이 인증서로 가짜 서버인 척하면 앱과 주고받는 암호화된 통신을 가로챌 수 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 42.11.16, 43.8.1, 44.9.1, and 45.0.0-beta.6, Electron does not block compromised eMudhra intermediate certificates in Chromium networking, Node.js tls, Node.js https, or Node.js fetch. An attacker who holds a certificate issued through one of these intermediates and can intercept network traffic can impersonate a TLS server to an affected application. This issue is fixed in versions 42.11.16, 43.8.1, 44.9.1, and 45.0.0-beta.6.
📍 영향받는 시스템
Electron 42.11.16 미만, 43.8.1 미만, 44.9.1 미만, 45.0.0-beta.6 미만을 사용하는 데스크톱 애플리케이션
⚔️ 공격 벡터
eMudhra 중간 인증서로 발급된 인증서를 가진 공격자가 네트워크 트래픽을 가로채 TLS 서버를 사칭
🛡️ 대응 방법
Electron을 42.11.16, 43.8.1, 44.9.1, 45.0.0-beta.6 이상으로 업데이트
🔧 검증 코드
출력된 버전이 42.11.16 이상(43.x는 43.8.1 이상, 44.x는 44.9.1 이상, 45.0.0-beta.6 이상)이면 패치된 것이며, 그보다 낮으면 취약합니다.
npm ls electron 2>/dev/null | grep electron@
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server