🇰🇷 한글 설명
@jitsi/electron-sdk 10.0.5 미만 버전에서 getDesktopSources() 함수가 사용자 승인 없이 노출되는 취약점이 발견되었습니다. 공격자는 회의 페이지 내의 스크립트를 통해 사용자의 동의나 운영체제의 권한 요청 없이도 화면 및 창 목록을 열거하고 데스크톱 썸네일을 가져올 수 있습니다.
💡 쉬운 설명
화면 공유를 허락하지 않았는데도 해커가 몰래 내 컴퓨터 화면에 무엇이 떠 있는지 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 악성 스크립트가 실행되면 사용자가 모르는 사이에 화면 이미지를 가져갈 수 있습니다.
🇺🇸 원문 (English)
@jitsi/electron-sdk before 10.0.5 exposes getDesktopSources() via contextBridge without requiring an active getDisplayMedia() picker, allowing any script in the meeting page to enumerate screens and windows. Attackers can call the jitsi-screen-sharing-get-sources IPC route to retrieve desktop thumbnails at arbitrary resolution without user consent or operating system permission prompts.
📍 영향받는 시스템
@jitsi/electron-sdk 10.0.5 미만 버전
⚔️ 공격 벡터
회의 페이지에 삽입된 악성 스크립트를 통해 IPC 경로(jitsi-screen-sharing-get-sources)를 호출하여 화면 정보 탈취
🛡️ 대응 방법
@jitsi/electron-sdk를 10.0.5 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 10.0.5 미만인지 확인하여 취약 여부를 판단합니다.
npm list @jitsi/electron-sdk