CVE-2016-10534 是 electron-packager 中的一个安全漏洞，该漏洞允许攻击者进行中间人 (MITM) 攻击。由于受影响的版本默认禁用 SSL 证书验证，攻击者可以在安装过程中拦截 Electron 下载，并将其替换为恶意文件。该漏洞影响使用 electron-packager CLI 的用户，而通过 node.js API 使用时，strict-ssl 选项默认为 true。建议升级到 7.0.0 或更高版本以修复此问题。
此漏洞的潜在影响是严重的安全风险。攻击者可以利用此漏洞在安装过程中篡改 Electron 下载，从而在目标系统上安装恶意软件。这可能导致数据泄露、系统控制权被盗以及其他恶意活动。攻击者需要位于一个特权网络位置，才能成功执行中间人攻击。由于 electron-packager 广泛用于打包 Electron 应用程序，因此该漏洞可能影响大量用户。攻击者可以利用此漏洞在安装过程中注入恶意代码，从而完全控制应用程序的行为。
该漏洞已公开披露，并且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于 electron-packager 广泛使用，因此存在被攻击者的利用的可能性。该漏洞未被添加到 CISA KEV 目录中。公开的 PoC 尚未发现，但漏洞的本质使其易于利用。
Developers and organizations using electron-packager to build and distribute Electron-based applications are at risk, particularly those relying on the CLI and not explicitly configuring SSL verification within their node.js API calls. Shared hosting environments where users have limited control over the build process are also at increased risk.
• nodejs / supply-chain:
Get-Process -Name electron-packager | Select-Object -ExpandProperty Path• nodejs / supply-chain:
Get-ChildItem -Path "C:\Program Files\electron-packager\*" -Recurse -Filter "*.exe"• generic web:
curl -I https://example.com/electron-download.exe | grep -i ssldiscovery
disclosure
patch
漏洞利用状态
EPSS
0.16% (36% 百分位)
缓解此漏洞的主要方法是升级到 electron-packager 7.0.0 或更高版本，该版本修复了 SSL 证书验证问题。如果无法立即升级，可以考虑以下临时缓解措施：确保网络环境安全，防止中间人攻击；使用防火墙或代理服务器来过滤恶意流量；在安装 Electron 应用程序之前，仔细检查下载文件的完整性。对于使用 node.js API 的用户，请确保 strict-ssl 选项设置为 true，以强制执行 SSL 证书验证。升级后，请验证安装的 Electron 版本是否已更新。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2016-10534 是 electron-packager 中的一个漏洞，允许攻击者进行中间人攻击，篡改 Electron 下载。
如果您使用的是 electron-packager 的低于 7.0.0 版本，并且使用 CLI 打包应用程序，则可能受到影响。
升级到 electron-packager 7.0.0 或更高版本以修复此漏洞。
目前尚未观察到大规模的利用活动，但存在潜在的利用风险。
请参考 electron-packager 的官方 GitHub 仓库或相关安全公告。