Sicherheitslücke im Electron-Framework macht Windows-Desktop-Apps angreifbar

Sicherheitsforscher haben eine kritische Sicherheitslücke im Electron-Framework entdeckt, das für die Entwicklung von Windows-Desktop-Apps benutzt wird. Es macht die Anwendungen unter Umständen anfällig für Hackerangriffe. Cyberkriminelle können aus der Ferne Schadcode einschleusen und ausführen, die Kontrolle über die App übernehmen und Daten stehlen.

Electron wird für die Entwicklung von Cross-Plattform-Apps für Mac OS X, Linux und Windows benutzt, die auf JavaScript, HTML und CSS aufbauen. Die Schwachstelle mit der Kennung CVE-2018-1000006 betrifft allerdings nur das Microsoft-Betriebssystem. Zudem sind nur Apps unsicher, die einen eigenen Protokoll-Handler verwenden und sich selbst als voreingestellte App für dieses Protokoll registrieren. Wie das Protokoll registriert wird, ob per nativem Code, über die Windows Registry oder die zugehörige Electron-API, hat offenbar keinen Einfluss auf die Anfälligkeit.

Das Electron-Framework wird für zahlreiche weit verbreitete Desktop-Anwendungen benutzt. Darunter sind Apps wie Skype, Signal, Slack, Shopify und Surf. Allerdings sind nicht alle Apps automatisch angreifbar – entscheidend ist, wie der Entwickler die Electron-Protokolle einsetzt.

In seiner Sicherheitswarnung geht Electron nicht auf möglicherweise unsichere Apps ein. Es lässt sich also nicht einschätzen, wie viele Anwendungen angreifbar oder wie viele Nutzer gefährdet sind.

Im Gespräch mit Cyberscoop bestätigte Microsoft jedoch, dass die neueste Version von Skype die Anfälligkeit abschwächt. Für Nutzer dieser Version bestehe kein Risiko.

Electron hat das Framework inzwischen aktualisiert und die Sicherheitslücke damit geschlossen. Entwickler sollten das Update schnellstmöglich installieren. Sollte ein Upgrade nicht möglich sein, sollten Entwickler beim Aufruf der Funktion „app.setAsDefaultProtocolClient“ die Zeichenfolge „- -“ als letztes Argument anfügen. Sie verhindert, dass Chromium weitere Optionen verarbeitet und der Fehler ausgenutzt werden kann.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Was wissen Sie über Mobile Apps? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Sicherheitsrisiko Schatten-IoT

Schatten-IT im Internet der Dinge (IoT) verbirgt zahlreiche Risiken. Mirko Bülles, Director TAM bei Armis,…

17 Stunden ago

Das Lizenzmodell Microsoft New Commerce Experience

Microsofts New Commerce Experience ist umstritten. Ob es Chancen für Cloud Service Provider gibt oder…

17 Stunden ago

Digitale Gesundheitsakte revolutioniert die Pferdezucht

Der Oldenburger Pferdezuchtverband zählt zu den führenden Zuchtverbänden Deutschlands. Mit der digitalen Pferdeakte sorgt er…

18 Stunden ago

Die Hummel sticht

Laut Cybersecurity-Forschern wird der Bumblebee (Hummel) Loader schnell zu einem Favoriten von Ransomware-Banden. Er steht…

18 Stunden ago

Linux: Rust wird bald integriert

Linus Torvalds ist vorsichtig optimistisch, Rust in die nächste Version des Linux-Kernels zu integrieren, wahrscheinlich…

2 Tagen ago

Google öffnet Earth Engine für alle

In den letzten zehn Jahren hatten Forscher in der akademischen und gemeinnützigen Welt über die…

2 Tagen ago