🇰🇷 한글 설명
Joplin Desktop for Windows 3.7.2 미만 버전에서 업데이트 메타데이터에 게시자 이름이 누락되어 발생하는 보안 취약점입니다. 이로 인해 업데이트 설치 시 Authenticode 서명 검증이 생략되어, 공격자가 변조된 업데이트 파일을 배포할 경우 사용자 권한으로 악성 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 업데이트를 받을 때 진짜 제작자가 만든 파일인지 확인하는 과정이 빠져 있는 상태입니다. 해커가 가짜 업데이트 파일을 보내면 사용자가 실수로 악성 프로그램을 설치하게 될 수 있습니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.2, Joplin Desktop for Windows omits publisherName from packages/app-desktop/package.json, so the generated app-update.yml causes NsisUpdater.verifySignature() to skip comparison of a downloaded update's Authenticode signer with Joplin's signer. An attacker who controls the update delivery path can replace the update metadata and installer, and the client accepts an installer signed by another publisher or left unsigned after the user approves installation. Successful exploitation runs attacker-controlled code with the user's privileges and can compromise notes, credentials, and local data. This issue is fixed in version 3.7.2.
📍 영향받는 시스템
Joplin Desktop for Windows (version < 3.7.2)
⚔️ 공격 벡터
업데이트 전달 경로를 제어하는 공격자가 업데이트 메타데이터와 설치 파일을 교체하여 악성 코드 실행
🛡️ 대응 방법
Joplin을 최신 버전인 3.7.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.7.2 미만인지 확인하십시오.
joplin --version 2>/dev/null || echo 'Version check requires manual inspection of installed application properties'