Les applications Electron multiplateformes peuvent être vulnérables aux attaques. mettez à jour le vôtre maintenant

Electron est un framework populaire pour la construction d'applications bureautiques multiplateformes utilisant des technologies web. L'outil a été créé par GitHub, et est la base de plusieurs applications populaires comme Slack, Visual Studio Code, Discord, et l'éditeur de texte Atom.

Et jusqu'à très récemment, il souffrait d'une vulnérabilité qui aurait pu permettre à un adversaire de exécuter son propre code arbitraire sur l'ordinateur d'une victime.

La vulnérabilité, CVE-2018 -1000136 a été repéré par le chercheur en sécurité à l'œil d'aigle de Trustwave, Brendan Scarvell . Il affecte les versions d'Electron en dessous de 1.7.13, 1.8.4 ou 2.0.0-beta.3. Heureusement, l'équipe d'Electron a publié un correctif, même si c'est à des développeurs individuels de l'implémenter.

Comment ça marche

Les applications électroniques sont construites avec HTML, CSS et JavaScript. Si le développeur le souhaite, ils peuvent également intégrer leur application avec Node.js, ce qui permet à l'application d'accéder à des parties de niveau inférieur du système. Avec Node, par exemple, l'application pourrait exécuter ses propres commandes shell.

Certaines applications qui n'ont pas besoin d'accéder à Node l'ont désactivée par défaut. Mais ce que Scarvell a découvert est un moyen de le réactiver dans une circonstance particulière.

Toutes les applications Electron ont un fichier de configuration. Enterré dans ceci est un attribut appelé nodeIngration . Lorsque ce paramètre est défini sur false, l'accès à l'API Node.js et aux modules est désactivé par défaut.

A ce jour, avec moi? Super, parce que c'est ici que ça devient un peu compliqué.

Il y a un attribut séparé appelé webviewTag . Cela contrôle le comportement de WebView, qui permet à une application Electron d'intégrer une page Web distincte.

Si webviewTag est défini sur false, il désactive également nodeIngration . Si elle n'a pas été définie, implicitement par défaut à false, juste pour être du bon côté.

Scarvell a essentiellement compris qu'un attaquant pourrait exploiter une vulnérabilité de script inter-site (rappelez-vous que les applications Electron sont essentiellement web applications, et sont donc probablement en proie à de tels problèmes) pour créer un nouvel élément WebView.

Voici un exemple récent de XSS -> système RCE dans Electron: https://t.co/XhBgn10nKR [19659002] Electron a un drapeau qui dit essentiellement "permettre au contenu d'exécuter des commandes système via Node" et il était possible pour un contexte avec ce drapeau désactivé d'ouvrir un nouveau contexte qui l'avait activé

– yan (@bcrypt) 12 mai 2018

Ici, l'attaquant serait capable de créer ses propres permissions, et passer nodeIntegration à True . Vous pouvez lire les détails plus précis sur la divulgation de la vulnérabilité sur les sites Web de Trustwave.

Mettez à jour vos fichiers

Electron est partout. Sa popularité découle du fait qu'il permet aux développeurs de créer des applications natives, sans avoir à se brancher à partir des technologies Web avec lesquelles ils sont intimement familiers.

Comme mentionné, il est utilisé dans certaines applications que vous utilisez probablement en ce moment : Slack, Atom, Skype, Github Desktop, et plus encore.

Le seul bogue à les détruire – CVE-2018-1000136 (y compris, mais sans s'y limiter: Signal Desktop, Slack, Discord, Atom, Visual Studio Code, Bureau Github) https://t.co/dPDkecJzFm #electron #vulnerability

– x0rz (@ x0rz) May 12, 2018

Suivant Scarvell a informé l'équipe d'Electron du problème il y a plusieurs mois et une mise à jour du logiciel a été publiée en mars. Il incombe maintenant aux fournisseurs individuels d'intégrer ce correctif dans leur application.

Les utilisateurs doivent également être vigilants. Si vous utilisez une application basée sur Electron, assurez-vous que vous utilisez la dernière version – ou mieux encore, ayez des mises à jour automatiques activées, si elles sont disponibles.

La conférence 2018 du Next Web est à quelques jours , et ce sera ??. Découvrez tout sur nos pistes ici .

Lire la suite:

La nouvelle analyse ADN permet à la police de découvrir qui ne l'a certainement pas fait