画像提供:マイナビニュース

写真拡大

2018年1月24日(米国時間)、Threatpostに掲載された記事「Skype, Slack and Other Popular Windows Apps Vulnerable to Critical Framework Bug|Threatpost|The first stop for security news」が、SkypeやSlackなどの複数のアプリケーションに遠隔からコード実行が可能な脆弱性が存在すると伝えた。SkypeやSlackではすでに脆弱性を修正したバージョンを公開している。該当するプロダクトを使用している場合にはアップデートを実施することが望まれる。

Skype for WindowsやSlackはElectronと呼ばれるフレームワークを使用している。今回、このフレームワークに脆弱性が存在することが明らかになった(CVE-2018-1000006)。このため、SkypeやSlack以外でもElectronを使っているアプリケーションには同様の脆弱性が存在する可能性がある。しかし、どのアプリケーションに脆弱性が存在するかは、本稿執筆時点ではわかっていない。

なお、ElectronはWindows、macOS、Linuxなど複数のオペレーティングシステムに対応しているが、脆弱性が存在するのはWindows版のみとされている。

ElectronはChromium、V8、Node.jsなどの技術を使って構築されたアプリケーションフレームワーク。クロスプラットフォームで利用すること、最新のWeb技術を利用してアプリケーションを開発することが可能なため高い人気がある。

Electronを使って構築されたアプリケーションを使っている場合、開発プロジェクトなどからの発表に注目するとともにアップデートが公開された場合には適用することが望まれる。