electron-packagerにおいてSSL検証がデフォルトでfalseになる

この脆弱性は、electron-packagerのCLIを使用している場合に影響を与えます。攻撃者は、ネットワーク上で特権的な位置にある場合、electron-packagerがElectronをダウンロードする際に、有効なダウンロードを改ざんされた悪意のあるものに置き換えるMITM攻撃を実行できます。これにより、悪意のあるコードがシステムにインストールされる可能性があります。この攻撃は、電子署名されたパッケージの検証を回避することで、システムへの不正なソフトウェアの導入を可能にします。悪用されると、機密情報の漏洩、システムの制御喪失、さらにはマルウェア感染につながる可能性があります。

Developers and organizations using electron-packager to build and distribute Electron-based applications are at risk, particularly those relying on the CLI and not explicitly configuring SSL verification within their node.js API calls. Shared hosting environments where users have limited control over the build process are also at increased risk.

• nodejs / supply-chain:

Get-Process -Name electron-packager | Select-Object -ExpandProperty Path

• nodejs / supply-chain:

Get-ChildItem -Path "C:\Program Files\electron-packager\*" -Recurse -Filter "*.exe"

• generic web:

curl -I https://example.com/electron-download.exe | grep -i ssl

1. 2016-00-00Discovery

   discovery

2. 2019-02-18Disclosure

   disclosure

3. 2019-02-18Patch

   patch

1. 公開日2019-02-18
2. 更新日2023-11-08
3. EPSS 更新日2026-04-02

この脆弱性への主な対策は、electron-packagerをバージョン7.0.0以降にアップデートすることです。アップデートが利用できない場合、一時的な回避策として、electron-packagerのCLIを使用する際に、--strict-sslオプションを明示的に指定してSSL証明書検証を有効にすることができます。また、ネットワークトラフィックを監視し、不審な活動を検出するための侵入検知システム（IDS）やWebアプリケーションファイアウォール（WAF）を導入することも有効です。アップデート後、アプリケーションを再起動し、SSL接続が正しく検証されていることを確認してください。