CVE-2026-102672
Electron: Local race condition in Squirrel.Mac update installation on macOS
CVSS 3.1Medium
6.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 39.8.10, 41.10.5, 42.0.0-beta.2
Обновите Electron до версий 39.8.10, 41.10.5, 42.0.0-beta.2 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Локальное состояние гонки в привилегированном хелпере ShipIt компонента Squirrel.Mac на macOS. Уязвимость позволяет подменить целевую директорию при установке обновлений.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Привилегированный хелпер ShipIt не привязывает проверенную цель обновления к каноническому пути бандла приложения на весь период инсталляции, что дает возможность перенаправить запись от root.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Локальный непривилегированный атакующий может перезаписать произвольные файлы сторонних приложений в системе с привилегиями root.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
electronelectron
все ранние➔Fix: 39.8.10
electronelectron
>= 40.0.0-alpha.1➔Fix: 41.10.5
electronelectron
>= 42.0.0-alpha.1➔Fix: 42.0.0-beta.2
——
>= 0➔Fix: 39.8.10
——
>= 40.0.0-alpha.1➔Fix: 41.10.5
——
>= 42.0.0-alpha.1➔Fix: 42.0.0-beta.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)
- github.comhttps://github.com/electron/electron/security/advisories/GHSA-vv43-5jgx-7qv8
- github.comhttps://github.com/electron/electron/pull/50745
- github.comhttps://github.com/electron/electron/commit/01faabfc250801a980fc94d64608046c67fc1cd9
- github.comhttps://github.com/electron/electron/commit/15e2928a5c5f01759107b414010e220d90d59cef
- github.comhttps://github.com/electron/electron/commit/a0f9ff4cc0340545008424232d49caadd9c0c767
- github.comhttps://github.com/electron/electron/commit/b8f25c4cedb2e0f5f475912b709aba19c57c26be
- github.comhttps://github.com/electron/electron/releases/tag/v39.8.10
- github.comhttps://github.com/electron/electron/releases/tag/v41.10.5
- github.comhttps://github.com/electron/electron/releases/tag/v42.0.0-beta.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-102672: Electron: Local race condition in Squirrel.Mac update installation on macOS. URL: https://cve.futuretools.ru/cve/CVE-2026-102672
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_102672,
title = {{CVE-2026-102672: Electron: Local race condition in Squirrel.Mac update installation on macOS}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-102672}},
note = {Оперативный инженерный анализ киберугроз}
}