Vulnerabilidad crítica en las populares aplicaciones de Windows creadas con Electron JS Framework
Se ha informado sobre una vulnerabilidad crítica de ejecución remota de código en Electron, un popular marco de aplicaciones web que alimenta miles de aplicaciones de escritorio ampliamente utilizadas, como Skype, Signal, Wordpress y Slack, que permite la ejecución remota de código.
Electron es un framework de código abierto que está basado en Node.js y Chromium Engine y permite a los desarrolladores de aplicaciones crear aplicaciones de escritorio nativas multiplataforma para Windows, macOS y Linux, sin el conocimiento de los lenguajes de programación utilizados para cada plataforma.
La vulnerabilidad, asignada como el número CVE-2018-1000006, afecta solo a aquellas aplicaciones que se ejecutan en Microsoft Windows y se registran como el controlador predeterminado para un protocolo como myapp://.
"Dichas aplicaciones pueden verse afectadas independientemente de cómo se registra el protocolo, por ejemplo, usando código nativo, el registro de Windows o la API app.setAsDefaultProtocolClient de Electron", dice Electron en un aviso publicado el lunes.
El equipo de Electron también ha confirmado que las aplicaciones diseñadas para macOS y Linux de Apple no son vulnerables a este problema, y tampoco aquellas (incluso para Windows) que no se registran como el controlador predeterminado para un protocolo como myapp://.
Los desarrolladores de Electron ya han lanzado dos nuevas versiones de su framework, es decir, 1.8.2-beta.4, 1.7.11 y 1.6.16 para abordar esta vulnerabilidad crítica.
"Si por alguna razón no puede actualizar su versión de Electron, puede anexar como último argumento al llamar a app.setAsDefaultProtocolClient, lo que evita que Chromium analice más opciones", dice la compañía.
Los usuarios finales no pueden hacer nada acerca de esta vulnerabilidad; en cambio, los desarrolladores que usan Electron JS Framework tienen que actualizar sus aplicaciones de inmediato para proteger su base de usuarios.
Todavía no se han divulgado muchos detalles de la vulnerabilidad de ejecución remota de código, ni el aviso de que ninguna de las aplicaciones que vulnerables por razones de seguridad.
Fuente: Blog Electron