Evernote の脆弱性 CVE-2023-50643：PoC エクスプロイトが公開

CVE-2023-50643: Evernote Remote Code Execution Flaw, PoC Published

2024/01/18 SecurityOnline — Evernote は、人気のノート・タスク管理アプリケーションであり、アイデアの記録／情報の整理／生産性の維持などに役立つものだ。Evernote は、あなたの頭脳のためのデジタル・ファイリング・キャビネットのようなものだが、よりパワフルで多機能でもある。

しかし、このセキュアで効率的なアプリケーションの表面下で、深刻なセキュリティ上の欠陥が発見された。最近の発見により、MacOS 版の Evernote の特定バージョンに、重大な脆弱性があることが明らかになった。この欠陥は単なる理論上のリスクではなく、一般に容易に入手可能な PoC エクスプロイト・ツールを使って、悪用される可能性があるというものだ。

この脆弱性 CVE-2023-50643 は憂慮すべきものである。この脆弱性は、Evernote for MacOS バージョン 10.68.2 に存在し、リモートの攻撃者による任意のコード実行を可能にする。危険なコンポーネントは、アプリケーションの機能に不可欠な RunAsNodeと enableNodeClilnspectArguments だとされている。この脆弱性の悪用に成功した攻撃者は、悪意のエンティティが不正なアクセスと制御を得るための扉を開き、アプリケーション内に保存されたデータの機密性／完全性／可用性に重大な脅威をもたらす。

この問題の深刻さは、NVD における CVSSv3.1 値が 9.8 であり、”Critical” に分類されていることで裏付けられる。この評価は、潜在的な影響と問題への対処に必要な、緊急性を示す明確な指標である。

さらに深く掘り下げると、この脆弱性の根源は、アプリケーションの開発フレームワークにあるという。MacOS 版 Evernote は、クロスプラットフォーム・アプリケーションの構築で多用される Electron フレームワークを用いて開発されている。そして、この脆弱性は Electron に内在するものであり、開発コミュニティにおける広範な問題が予測されている。

CVE-2023-50643 を悪用する方法：

electroniz3r ツールを使って、標的アプリの脆弱性をチェックできまる：

検証後にコードを注入し、シェルを取得する。

Enjoy Shell 🙂

Evernote は便利なので、ちょくちょく使っているので心配です。しかし、手元の Mac 版のバージョンを調べたところ 10.66.5 であり、文中で指摘されているバージョンよりも古いという状況でした。なんか、よく分からない状況です。それと、気になるのは、Electron フレームワークの脆弱性だという指摘です。2022/08/17 の「Electron ベース・アプリ 18種類に深刻な脆弱性： Teams／WhatsApp／Slack などに影響」にあるように、このフレームワークは、数多くの主要アプリケーションで利用されているようです。そして、Slack for Mac が 1月16日に、Facebook Messenger が 1月19日にアップデートされました。