🇰🇷 한글 설명
Electron 프레임워크에서 크로스 오리진 iframe을 사용하여 네이티브 자동 완성 팝업의 위치를 프레임 경계 밖이나 임베딩된 페이지의 UI 위로 이동시킬 수 있는 취약점이 발견되었습니다. 이로 인해 클릭재킹이나 신뢰할 수 있는 UI를 사칭하는 공격이 가능할 수 있습니다. 이 문제는 신뢰할 수 없는 콘텐츠를 iframe으로 포함하는 앱에서만 영향을 받습니다.
💡 쉬운 설명
웹사이트 내부에 숨겨진 창을 이용해 자동 완성 창을 엉뚱한 위치에 띄워 사용자를 속이는 공격입니다. 사용자가 원래 보던 화면 위에 가짜 버튼이나 입력창이 나타나 클릭을 유도할 수 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3, the native autofill popup could be positioned by a cross-origin iframe outside that iframe's bounds, over the embedding page's UI, enabling clickjacking or spoofing of trusted UI. Apps are only affected if they embed untrusted content in iframes within windows that also display trusted UI. Apps that do not embed untrusted third-party content are not affected. This issue is fixed in versions 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3.
📍 영향받는 시스템
Electron versions prior to 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3
⚔️ 공격 벡터
신뢰할 수 없는 외부 콘텐츠를 포함한 iframe을 통해 네이티브 UI 요소의 위치를 조작하는 방식
🛡️ 대응 방법
Electron을 최신 보안 패치가 적용된 버전(39.8.8, 40.9.0, 41.2.1, 42.0.0-beta.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Electron 버전을 확인하여 취약점이 해결된 버전(39.8.8, 40.9.0, 41.2.1, 42.0.0-beta.3 이상)인지 대조합니다.
npm list electron | grep electron
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows