VS Codeで任意コード実行が可能だった脆弱性から学ぶ、Electron開発の注意点(CVE-2021-43908) - Flatt Security Blog

初めに こんにちは。株式会社Flatt Security セキュリティエンジニアの石川です。 近年、クロスプラットフォームなデスクトップアプリケーションを作成する上で、Electronを採用することが選択肢の1つになってきています。 Electronの開発では、ライブラリとしてのElectronの実装と、その上にユーザーが構築するデスクトップアプリケーションの2つのコードが存在します。デスクトップアプリケーションの実装においても、メインプロセスとレンダラープロセス、サブフレームなど、考慮すべき概念が多数存在します。 そこで本稿では、Electronのアーキテクチャを意識しながら、実際に発見された脆弱性の傾向について考察することで、 Electron開発者が開発時に気を付けるべき点とその緩和策について、セキュリティの観点から記述していきます。 その上で、一例として、2022年のBlack H

[yarumato]

“Electronがブラウザと異なる点の一つ、レンダラープロセスからOSに直結するNode.jsを使用できる点。Node.jsの利用、コンテキストの分離等の設定の有効/無効によって、考えられる攻撃のシナリオが異なります。”

[remonoil]

"Electronの場合は、レンダラープロセスにNode APIが公開（Node Integrationが有効）されていた場合、 OSに直結したNode.js APIを使用できるため、（中略）XSSが発生した場合にRCEまで到達される可能性が非常に高くなります。"

[daruyanagi]

“Electronを使用するのであれば、Electronのアーキテクチャの特性をしっかり理解することが必要……Node Integrationだけでなく、Context Isolation、 Sandbox……可能な限りこれらを推奨値に設定することが重要”

[blog0x003f]

解説が詳しい