🇰🇷 한글 설명
electron-updater 9.7.0 미만 버전에서 HTTP 리다이렉트 처리 시 특정 인증 헤더를 제대로 제거하지 못하는 취약점이 발견되었습니다. 이로 인해 'authorization' 외의 대소문자가 섞인 헤더나 'PRIVATE-TOKEN' 같은 다른 인증 정보가 공격자가 제어하는 외부 URL로 유출될 수 있습니다.
💡 쉬운 설명
앱이 업데이트를 위해 다른 사이트로 연결될 때, 사용자의 중요한 비밀번호나 인증 키를 실수로 함께 넘겨주는 문제입니다. 공격자는 이 정보를 가로채서 사용자의 계정에 접근할 수 있습니다.
🇺🇸 원문 (English)
electron-updater allows for automatic updates for Electron apps. Prior to 9.7.0, the HTTP redirect handler (HttpExecutor.prepareRedirectUrlOptions) only stripped a credential header whose key string matched exactly lowercase "authorization", exposing credentials. Other credential-bearing headers — most notably PRIVATE-TOKEN (used by GitLab's personal access token flow) and mixed-case Authorization (used by GitLab's Bearer/OAuth flow) — were not stripped and could be forwarded to an attacker-controlled cross-origin redirect destination. This issue has been fixed in version 9.7.0.
📍 영향받는 시스템
electron-updater versions prior to 9.7.0
⚔️ 공격 벡터
공격자가 제어하는 외부 URL로의 HTTP 리다이렉트를 유도하여 인증 헤더 탈취
🛡️ 대응 방법
electron-updater를 9.7.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 electron-updater의 버전이 9.7.0 미만인지 확인
npm list electron-updater