|
[English]
|
JVNDB-2016-000054
|
Electron における Node モジュール読み込みに関する問題
|
|
Electron には、Node モジュール読み込みのパスを適切に制限していない問題が存在します。その結果、任意の JavaScript を実行される可能性があります。
Electron は、HTML、CSS、JavaScript with Chromium や Node.js のようなウェブテクノロジを使ったクロスプラットフォームのデスクトップアプリケーションを開発するためのソフトウエアフレームワークです。Electron は、Atom エディタ、Microsoft Visual Studio Code などのアプリケーションで利用されています。Electron には、Node モジュールを読み込む際の検索パスに問題があります。この問題は、require 関数の処理を行う際、モジュールが存在するディレクトリの親ディレクトリをすべて検索パスに加えてしまうことに起因しています。攻撃者によって、これらの検索パスに細工された Node モジュールを置かれていた場合、この Node モジュールが読み込まれます。
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: (株)セキュアスカイ・テクノロジー 長谷川陽介 氏
|
|
|
CVSS v3 による深刻度
基本値: 5.3 (警告) [IPA値]
- 攻撃元区分: ローカル
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 6.8 (警告) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): 部分的
|
|
|
Electron
- Electron 0.33.5 より前のバージョン
|
|
|
攻撃者によって細工された Node モジュールを読み込むことで、Electron で開発されたアプリケーションが持つ権限で任意の JavaScript コードを実行される可能性があります。
|
|
[Electron をアップデートし、アプリケーションをリビルドする]
Electron を使用したアプリケーションを開発している場合、Electron をアップデートしてからアプリケーションをリビルドしてください。
|
|
Atom
Electron
|
|
- その他(CWE-Other) [IPA評価]
|
|
- CVE-2016-1202
|
|
- JVN : JVN#00324715
- National Vulnerability Database (NVD) : CVE-2016-1202
|
|
- [2016年04月22日]
掲載
[2016年06月01日]
ベンダ情報：Electron (Merge pull request #2976 from atom/node_modules_paths) を追加
参考情報：National Vulnerability Database (NVD) (CVE-2016-1202) を追加
|
