BDU:2025-12971

Уязвимость функций embeddedAsarIntegrityValidation() и onlyLoadAppFromAsar() программной платформы для создания приложений Electron, позволяющая нарушителю получить несанкционированный доступ на чтение и изменение данных

Опубликовано: 2025-10-15

Описание

Уязвимость функций embeddedAsarIntegrityValidation() и onlyLoadAppFromAsar() программной платформы для создания приложений Electron связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ на чтение и изменение данных

Затрагиваемое ПО и версии

Electron (до 35.7.5)Electron (до 36.8.1)Electron (до 37.3.1)Electron (до 38.0.0-beta.6)

Способ устранения

Использование рекомендаций:
https://github.com/electron/electron/commit/23a02934510fcf951428e14573d9b2d2a3c4f28b
https://github.com/electron/electron/commit/2e5a0b7220ebf955c6785cc5adb2e2b1cf77dac1
https://github.com/electron/electron/commit/3f92511cdecc39f46b0e86cce40a0c691e301c9d
https://github.com/electron/electron/commit/fdf29ce83870109d403f5c23ae529dbd0e8f4fee

Оценка CVSS

Балл	5.7 — средняя опасность

Источники и патчи

https://blog.trailofbits.com/2025/09/03/subverting-code-integrity-checks-to-locally-backdoor-signal-1password-slack-and-more/https://github.com/electron/electron/security/advisories/GHSA-vmqv-hx8q-j7mg https://github.com/electron/electron/commit/23a02934510fcf951428e14573d9b2d2a3c4f28b https://github.com/electron/electron/commit/3f92511cdecc39f46b0e86cce40a0c691e301c9d https://github.com/electron/electron/commit/fdf29ce83870109d403f5c23ae529dbd0e8f4fee https://github.com/electron/electron/pull/48101 https://github.com/electron/electron/pull/48102 https://github.com/electron/electron/pull/48103

Проверьте безопасность своего сайта и почты → Полная проверка домена