พบช่องโหว่ Cross-Site Scripting บน Electron อาจกระทบความปลอดภัของ Application ชื่อดังจำนวนมาก

Brendan Scarvell นักวิจัยด้าน Security จาก Trustwave ได้ค้นพบช่องโหว่ Cross-Site Scripting (XSS) บน Electron ซึ่งเป็น Framework ชื่อดังที่ Application จำนวนมากเลือกใช้ เช่น Microsoft Skype, Microsoft Visual Studio Code, GitHub Atom, Signal, Twitch, Discord, Basecamp, Slack, Ghost, WordPress และอื่นๆ โดยช่องโหว่นี้อาจนำไปสู่การโจมตี Remote Code Execution (RCE) ได้

 

Credit: Electron

 

ในการค้นพบครั้งนี้ระบุว่าถ้าหากตัว Application ไม่ได้มีการระบุให้ webviewTag: false นั้น ผู้โจมตีจะสามารถทำการโจมตีด้วยการทำ XSS เพื่อเข้าไปควบคุมการกำหนดค่าใน Setting และแก้ไขค่าออปชันของ nodeIntegration ให้กลายเป็น true เพื่อให้ผู้โจมตีสามารถเข้าถึง Node.js API และโมดูลต่างๆ ได้

นอกจากนนี้ การโจมตีนี้ยังสามารถนำไปสู่การทำ RCE ได้ด้วย โดย Electron รุ่นที่ได้รับผลกระทบคือรุ่นก่อนหน้า 1.7.13, 1.8.4 และ 2.0.0-beta.3 ซึ่งทางนักวิจัยเองก็ได้แจ้งช่องโหว่นี้ไปยังทีมพัฒนา Electron แล้วและมี Patch แก้ไขตั้งแต่กลางเดือนมีนาคม 2018 ที่ผ่านมา อย่างไรก็ดีปัจจุบันนี้ก็ยังไม่เป็นที่แน่ชัดว่าปัจจุบันยังคงมี Application ที่มีช่องโหว่ดังกล่าวของ Electron หลงเหลืออยู่มากน้อยเพียงใด

 

ที่มา: https://www.bleepingcomputer.com/news/security/security-flaw-impacts-electron-based-apps/



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Infor WMS พร้อมพาธุรกิจรับมือความท้าทายด้าน Supply Chain ในปี 2020 ด้วยระบบ Intelligent Warehouse ครบวงจร

การแพร่ระบาดของ COVID-19 ที่ปั่นป่วน Supply Chain ไปทั่วโลกในปีนี้นั้นเป็นเหตุการณ์หนึ่งที่เน้นย้ำให้เห็นชัดถึงความสำคัญของการจัดการ Supply Chain ที่ดี เมื่อความผันผวนเป็นสิ่งที่ต้องเผชิญในทุกวัน การตัดสินใจที่รวดเร็วและเหมาะสมกับบริบทก็ย่อมสร้างข้อได้เปรียบให้กับธุรกิจ หนึ่งซอฟต์แวร์ที่สามารถตอบโจทย์ความรวดเร็วและการเปลี่ยนแปลงนี้ได้เป็นอย่างดีคือ Infor WMS ซึ่งเป็นซอฟต์แวร์จัดการคลังสินค้าอย่างครบวงจรที่พัฒนาขึ้นจากองค์ความรู้มากกว่า …

[Guest Post] “E-WITHHOLDING TAX” เริ่มแล้ว! สตรีมฯ พร้อมให้บริการทำระบบสำหรับธนาคาร ด้วยประสบการณ์ตรงที่ทำให้กรมสรรพากร!

เมื่อวันอังคารที่ผ่านมา (27 ต.ค. 2563) กรมสรรพากรได้จัดงานเปิดตัวนวัตกรรมระบบภาษีหัก ณ ที่จ่ายอิเล็กทรอนิกส์ หรือ e-Withholding Tax อย่างเป็นทางการ โดยมีกลุ่มธนาคารที่ให้บริการระบบเข้าร่วมงานในครั้งนี้ด้วย หลังจากที่มีการเปิดให้ผู้ประกอบการเริ่มใช้ระบบตั้งแต่วันที่ 1 ตุลาคม …