AG公司云
ElectronJs远程代码执行误差 （CVE-2018-1000006）
2018-01-25
综述
克日，使用自界说协议处置惩罚程序（custom protocol handlers）的Electron应用程序被发明保存一个远程执行代码误差。该误差源于应用程序在设计时，将自身注册为协议的默认处置惩罚程序（例如myapp://），无论协议是怎样注册的，例如本机代码，Windows注册表或者Electron的app.setAsDefaultProtocolClient的API，都会受到影响。
相关链接：
https://electronjs.org/blog/protocol-handler-fix
? Electron version < v1.6.16
? Electron version v1.8.2-beta.4
? Electron version v1.7.11
? Electron version v1.6.16
v1.8.2-beta.4
https://github.com/electron/electron/releases/tag/v1.8.2-beta.4
v1.7.11
https://github.com/electron/electron/releases/tag/v1.7.11
v1.6.16
https://github.com/electron/electron/releases/tag/v1.6.16
克日，使用自界说协议处置惩罚程序（custom protocol handlers）的Electron应用程序被发明保存一个远程执行代码误差。该误差源于应用程序在设计时，将自身注册为协议的默认处置惩罚程序（例如myapp://），无论协议是怎样注册的，例如本机代码，Windows注册表或者Electron的app.setAsDefaultProtocolClient的API，都会受到影响。
相关链接：
https://electronjs.org/blog/protocol-handler-fix
受影响的版本
? Electron version < v1.8.2-beta.4
? Electron version < v1.7.11? Electron version < v1.6.16
仅有Windows平台受到该误差影响。
? Electron version v1.8.2-beta.4
? Electron version v1.7.11
? Electron version v1.6.16
解决计划
Electron官方已经宣布了最新版本，修复了上述误差，受影响的用户请尽快更新升级举行防护。v1.8.2-beta.4
https://github.com/electron/electron/releases/tag/v1.8.2-beta.4
v1.7.11
https://github.com/electron/electron/releases/tag/v1.7.11
v1.6.16
https://github.com/electron/electron/releases/tag/v1.6.16
若用户暂时未便升级，可以在挪用app.setAsDefaultProtocolClient的API时，附加--作为最后的参数。--体现着下令选项的竣事，可以避免潜在的恶意选项。
参考链接：
https://electronjs.org/docs/api/app#appsetasdefaultprotocolclientprotocol-path-args-macos-windows
声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
