2020-09-27 12:20 (일)
일렉트론 프레임워크서 심각한 원격 코드 실행 취약점 패치돼
상태바
일렉트론 프레임워크서 심각한 원격 코드 실행 취약점 패치돼
  • hsk 기자
  • 승인 2018.01.25 17:32
이 기사를 공유합니다

hacker-1944688_640.jpg
일렉트론(Electron)에서 원격 코드 실행 취약점(CVE-2018-1000006)이 패치됐다. Electron은 스카이프(Skype), 시그널(Signal), 슬랙(Slack), 깃허브 데스크톱(Github Desktop), 트위치(Twitch), 워드프레스(WordPress)를 포함해 널리 사용되는 데스크톱 애플리케이션에 사용되는 프레임워크다.

개발자가 자바스크립트, HTML, CSS와 같은 웹 기술을 사용하여 크로스 플랫폼 데스크톱 애플리케이션을 빌드할 수 있게 해주는 node.js, V8, Chromium 오픈소스 프레임워크이다. Electron은 현재 깃허브에서 개발 중이며, 개발팀은 이 문제를 해결하기 위해 버전 v1.8.2-beta.4, v1.7.11, v1.6.16을 배포했다.

Electron팀은 “커스텀 프로토콜 처리기를 사용하는 앱에 영향을 미친 원격 코드 실행 취약점이 발견됐다. 이 취약점에는 CVE-2018-1000006 넘버가 붙었다.”고 말하며 “myapp://과 같이 프로토콜을 위한 디폴트 처리기로 등록한, 윈도우용 Electron 애플리케이션은 취약하다”고 덧붙였다. 이러한 애플리케이션은 네이티브 코드 사용, 윈도우 레지스트리, 또는 Electron의 app.setAsDefaultProtocolClient API 등 프로토콜 등록 방법에 관계 없이 영향 받는다.

현재 460개 이상의 크로스 플랫폼 데스크톱 애플리케이션들이 Electron 프레임워크를 사용하고 있지만 코드 실행 취약점은 커스텀 프로토콜 처리기를 사용하는 경우에만 영향을 미친다. macOS와 Linux는 해당되지 않는다.

Electron의 3가지 배포는 깃허브에서 다운로드할 수 있다. 또한 전문가들은 취약점 익스플로잇을 피하기 위한 대안을 제공했다. “만약 업데이트를 진행할 수 없다면 app.setAsDefaultProtocolClient 호출시 마지막 인수에 ‘-‘를 추가하면 Chromium이 추가 옵션을 파싱하지 못하게 된다. 이중 대쉬는 명령 옵션의 끝을 의미하고, 그 이후에는 위치 매개 변수만 허용된다”라고 설명했다.

★정보보안 대표 미디어 데일리시큐!★