🇰🇷 한글 설명
Zen 브라우저의 MAR 업데이터에서 서명 검증이 모두 제거되어 있어, 서명되지 않은 악의적 코드가 배포될 수 있습니다. 업데이트 서버나 GitHub 파이프라인이 침해되면 자동 업데이트를 통해 모든 사용자에게 임의의 코드를 전달할 수 있습니다. 1.19.9b에서 수정됨.
💡 쉬운 설명
Zen 브라우저의 자동 업데이트 시스템에 안전 검사가 없어서, 해커가 악의적인 코드를 배포할 수 있습니다. 모든 사용자의 컴퓨터가 위험에 노출될 수 있습니다.
🇺🇸 원문 (English)
Zen is a firefox-based browser. Prior to 1.19.9b, Zen Browser ships a Mozilla Application Resource (MAR) updater (org.mozilla.updater) that has had all MAR signature verification stripped from the Firefox codebase it was forked from. The MAR files served to users contain zero cryptographic signatures, and the updater binary contains zero cryptographic verification code. This eliminates the defense-in-depth that MAR signing provides. If the update server or GitHub release pipeline is compromised, arbitrary unsigned code can be delivered to all Zen users via the auto-update mechanism. This vulnerability is fixed in 1.19.9b.
📍 영향받는 시스템
Zen Browser < 1.19.9b
⚔️ 공격 벡터
업데이트 서버 또는 GitHub 릴리스 파이프라인 침해를 통한 서명되지 않은 악의적 MAR 파일 배포
🛡️ 대응 방법
Zen Browser를 1.19.9b 이상으로 즉시 업그레이드
🔧 검증 코드
버전이 1.19.9b 이상이면 안전하고, 1.19.9b 미만이면 즉시 업그레이드 필요
zen --version 2>/dev/null || dpkg -l 2>/dev/null | grep -i zen