Windows 上的 electron-updater < 6.3.0-alpha.6 中的代码签名绕过 (CVE-2024-39698)

CVE编号

CVE-2024-39698

利用情况

暂无

补丁情况

N/A

披露时间

2024-07-10

漏洞描述

Electron-updater 可以为 Electron 应用提供自动更新功能。在 Windows 系统上，`packages/electron-updater/src/windowsExecutableCodeSignatureVerifier.ts` 文件实现了 Electron 应用签名验证的例行程序。由于周围的外壳程序，`cmd.exe` 第一次通过时会扩展命令行中发现的任何环境变量。这导致了一种情况，即 `verifySignature()` 函数可能被欺骗，验证不同于刚刚下载文件的证书。如果此步骤成功，即使恶意更新的签名无效，也会执行恶意更新。这种攻击假设更新清单已被破坏（服务器被攻击、通过 HTTP 进行中间人攻击、跨站脚本攻击使应用程序指向恶意更新服务器等）。补丁从 6.3.0-alpha.6 版本开始可用。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/electron-userland/electron-builder/blob/140e2f0eb0df79c2a4...
https://github.com/electron-userland/electron-builder/commit/ac2e6a25aa491c1e...
https://github.com/electron-userland/electron-builder/pull/8295
https://github.com/electron-userland/electron-builder/security/advisories/GHS...

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com