Electron 框架现严重 RCE 漏洞影响 Windows 多个应用程序
外媒 1 月 24 日报道，流行软件构建框架 Electron 中存在一个严重的远程代码执行（ RCE ）漏洞（CVE-2018-1000006），可能会影响大量热门桌面应用程序，比如 Skype，Signal，Slack，GitHub Desktop，Twitch 和 WordPress.com 等。 Electron 表示目前只有 Windows 的应用程序会受到漏洞影响。
Electron 由 GitHub 团队开发，是一个基于 Node.js 和 Chromium 引擎的开源框架，允许应用程序开发人员使用 JavaScript、HTML 和 CSS 等 Web 技术为 Windows，MacOS 和 Linux 等构建跨平台的本地桌面应用程序。目前至少有 460 个跨平台桌面应用程序使用了 Electron 框架。
本周一，Electron 团队称其已在 Electron 框架中修补了该远程代码执行漏洞，并表示该漏洞只影响 Windows 应用程序， Mac 和 Linux 的应用不在影响范围内 。
据 Electron 团队介绍， 该远程代码执行漏洞影响使用自定义协议处理程序的电子应用程序。若这些基于 Electron 的应用程序将自身注册为处理自定义协议框架（如 myapp ：//），并且无论协议是怎么注册的，都很可能会受到漏洞影响。（ 例如使用本地代码、Windows注册表、Electron 框架的app.setAsDefaultProtocolClient API 等方式注册）
目前 Electron 开发者已经发布了两个新的框架版本来解决这个严重的漏洞，即 1.8.2-beta.4,1.7.11 和 1.6.16。如果由于某种原因导致无法升级 Electron 版本，那么可在调用 app.setAsDefaultProtocolClient 时将其作为最后一个参数追加，因为这样一来，可以有效防止 Chromium 解析更多的选项。
消息来源：Security Affairs，编译：榆榆，校审：FOX;
本文由 HackerNews.cc 编译整理，封面来源于 *** ；
转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。
“Electron 框架现严重 RCE 漏洞影响 Windows 多个应用程序” 的相关文章
SSLPing 开发者向广大用户致歉：服务积弊太久 已难起死回生
SSLPing 是一款相当实用的工具，在注册并添加了你的服务器后，它就会帮助检查证书、协议、密码和已知漏洞。从 SSL v3 到 TLS 1.2，对于一些大型服务提供商来说，如果未能在证书到期前妥善处理，后续的影响还是相当难以规避的。然而近日，这款免费工具的创作者正在发出寻求帮助的讯号。 （来自：...
技术专家与黑客展开竞赛 以确保电动汽车网络电网的安全
电动汽车（EV）革命来了。在过去的十年里，插电式混合动力电动车已经从16000辆增长到超过200万辆，汽车高管们预计到2030年，超过50%的美国汽车将是全电动的。不难看出，专家们为何做出如此乐观的预测。除了不断增长的电动汽车车队，今年早些时候签署的美国国会两党基础设施协议将包括75亿美元，以帮助规...
分销网络遭黑客攻击后，伊朗加油站停止服务
伊朗国家石油产品分销公司（NIOPDC）的加油站26日停工，原因是网络攻击波及了整个分销网络。 NIOPDC网络在全国拥有3500多个加油站，80多年来一直供应石油产品。 调查机构正在查找造成破坏的原因，目前还没有公开说明幕后黑手的信息，但伊朗正在指责一个敌对国家。 并非全无线索，ISNA 通讯社首...
攻击者部署后门，窃取 Exchange 电子邮件
网络安全研究人员将该 APT 组织追踪为 UNC3524，并强调在某些情况下，该组织可以对受害者环境进行超过 18 个月的访问，展示了其 “先进 “的隐匿能力。 在每一个 UNC3524 受害者环境中，攻击者都会针对一个子集的邮箱，集中其注意力在执行团队和从事企业发展、兼并和收购的员工或 IT 安...
加密货币平台 Wormhole 遭黑客入侵 预估损失 3.22 亿美元
Wormhole Portal 刚刚遭遇了“桥梁”漏洞攻击，导致该加密货币平台损失了相当于 3.228 亿美元的 ETH 和 SOL 。问题源于以太坊区块链上的一个“智能合约”缺陷，别有用心的攻击者可借此将一款加密货币转换成另一种并跑路。 攻击后，失窃的加密货币资产已缩水至 2.94 亿美元。虽然...
Log4j 漏洞可能需要数月甚至数年时间才能妥善解决
网络安全专家认为 CVE-2021-44228 的普遍性以及容易被利用，这个 Log4j 中的远程代码执行漏洞可能需要数月甚至数年时间才能得到妥善解决。McAfee Enterprise 和 FireEye 的高级威胁研究主管 Steve Povolny 表示，Log4Shell 的破坏力完全和 S...
评论列表
发表评论
