Error crítico afecta a populares aplicaciones de Windows creadas con Electron JS Framework

Los desarrolladores que usan Electron JS Framework tienen que actualizar sus aplicaciones de inmediato

Una vulnerabilidad crítica de ejecución remota de código ha sido reportada en Electron, un popular framework de aplicaciones web que impulsa miles de aplicaciones de escritorio ampliamente utilizadas, incluidas Skype, Signal, Wordpress y Slack, que permite la ejecución remota de código.

Electron es un framework de código abierto que está basado en Node.js y Chromium Engine y permite a los desarrolladores de aplicaciones crear aplicaciones de escritorio nativas multiplataforma para Windows, macOS y Linux, sin el conocimiento de los lenguajes de programación utilizados para cada plataforma.

La vulnerabilidad, asignada como el número CVE-2018-1000006, afecta solo a aquellas aplicaciones que se ejecutan en Microsoft Windows y se registran como el controlador predeterminado para un protocolo como myapp://.

"Dichas aplicaciones pueden verse afectadas independientemente de cómo se registra el protocolo, por ejemplo, usando código nativo, el registro de Windows o la API app.setAsDefaultProtocolClient de Electron", dice Electron en un aviso publicado el lunes.

El equipo de Electron también ha confirmado que las aplicaciones diseñadas para macOS de Apple y Linux no son vulnerables a este problema, y tampoco aquellas (incluso para Windows) que no se registran como el controlador predeterminado para un protocolo como myapp://.

Los desarrolladores de Electron ya han lanzado dos nuevas versiones de su framework, es decir, 1.8.2-beta.4, 1.7.11 y 1.6.16 para abordar esta vulnerabilidad crítica.

"Si por alguna razón no puede actualizar su versión de Electron, puede añadir, como último argumento al llamar a app.setAsDefaultProtocolClient, lo que evita que Chromium analice otras opciones", dice la compañía.

Los usuarios finales no pueden hacer nada acerca de esta vulnerabilidad; en cambio, los desarrolladores que usan Electron JS Framework tienen que actualizar sus aplicaciones de inmediato para proteger su base de usuarios.

Todavía no se han divulgado muchos detalles de la vulnerabilidad de ejecución remota de código, ni el aviso ha divulgado ninguna de las aplicaciones vulnerables (que se convierten en el controlador de protocolo predeterminado) por razones de seguridad.