🇰🇷 한글 설명
Electron 프레임워크에서 확장 프로그램 탭 및 스크립팅 API가 확장 프로그램 자체 세션에 국한되지 않는 취약점이 발견되었습니다. 이로 인해 악성 확장 프로그램이 다른 세션의 창을 탐색하거나 스크립트를 실행하고 데이터를 읽을 수 있습니다. 이 문제는 session.loadExtension을 통해 Chrome 확장 프로그램을 로드하고 세션 격리에 의존하는 앱에 영향을 미칩니다.
💡 쉬운 설명
웹 브라우저의 확장 프로그램이 서로 분리되어 있어야 하는데, 이 경계가 허물어져 다른 세션의 정보를 훔쳐볼 수 있는 문제입니다. 보안이 설정된 앱이라도 특정 방식으로 확장 프로그램을 사용한다면 위험할 수 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3, extension tab and scripting APIs were not scoped to the extension's own session. A malicious or compromised extension loaded into one session could navigate, script, and read from windows belonging to a different session. Apps are only affected if they load Chrome extensions via session.loadExtension and rely on separate sessions to isolate that extension from other content. This issue is fixed in versions 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3.
📍 영향받는 시스템
Electron versions prior to 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3
⚔️ 공격 벡터
악성 또는 탈취된 확장 프로그램을 특정 세션에 로드하여 다른 세션의 창에 접근 및 데이터 탈취
🛡️ 대응 방법
Electron을 수정된 버전(39.8.8, 40.9.0, 41.2.1, 42.0.0-beta.3 이상)으로 업데이트
🔧 검증 코드
출력된 Electron 버전을 확인하여 취약점이 해결된 버전인지 대조
npm list electron | grep electron
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:N
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows