Electron: Use-after-free in WebContents Fullscreen-, Pointer-Lock- und Keyboard-Lock-Permission-Callbacks

Die Schwachstelle CVE-2026-34771 in Electron betrifft Anwendungen, die asynchrone session.setPermissionRequestHandler() registrieren. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine Anfrage für Vollbild-, Pointer-Lock- oder Keyboard-Lock-Berechtigungen auslöst, während der Frame, der die Anfrage gestellt hat, navigiert oder das Fenster geschlossen wird. Dies führt dazu, dass der gespeicherte Callback eine bereits freigegebene Speicherstelle dereferenziert, was zu einem Absturz der Anwendung oder zu Speicherbeschädigungen führen kann. Die Folgen reichen von einem Denial-of-Service (Verweigerung des Zugriffs) durch den Absturz der Anwendung bis hin zu potenziellen Sicherheitslücken, wenn die Speicherbeschädigung dazu ausgenutzt werden kann, Code auszuführen. Der Grad der Bedrohung hängt stark von der Funktionalität der betroffenen Anwendung ab. Eine Anwendung, die sensible Daten verarbeitet oder Zugriff auf Systemressourcen hat, wäre besonders gefährdet. Ein erfolgreicher Angriff könnte zu unbefugtem Zugriff auf diese Daten oder zur Kompromittierung des Systems führen. Der 'Blast Radius' ist somit auf die betroffene Anwendung und das System, auf dem sie ausgeführt wird, beschränkt, kann aber in bestimmten Szenarien weitreichende Folgen haben.

Applications built using Electron that register asynchronous session.setPermissionRequestHandler() are at risk. This includes a wide range of desktop applications, particularly those that handle user permissions or interact with system resources. Developers using Electron for cross-platform development, especially those relying on third-party libraries or components that utilize permission request handlers, should prioritize patching.

• linux / server: Monitor Electron application logs for crashes or segmentation faults. Use ps aux | grep electron to identify running Electron processes and check their resource usage for anomalies.

journalctl -u electron -f | grep -i crash

• windows / supply-chain: Use Process Monitor to observe Electron processes and identify any unusual memory access patterns or crashes. Check Autoruns for suspicious Electron-related entries.

Get-Process -Name electron | Select-Object Id, CPU, WorkingSet

• generic web: If the Electron application interacts with a web server, examine web server access logs for unusual requests that might trigger the permission request handler.

1. 2026-04-03Disclosure

   disclosure

1. Reserviert2026-03-30
2. Veröffentlicht2026-04-03
3. Geändert2026-04-08
4. EPSS aktualisiert2026-04-11

Um CVE-2026-34771 zu beheben, ist ein Upgrade auf mindestens Electron Version 38.8.6, 39.8.0, 40.7.0 oder 41.0.0-beta.8 unerlässlich. Diese Versionen enthalten die notwendigen Patches, um die Schwachstelle zu beheben. Sollte ein sofortiges Upgrade nicht möglich sein, kann als vorübergehende Maßnahme die Verwendung eines synchronen Permission Request Handlers in Betracht gezogen werden. Dies verhindert das Auftreten der Use-After-Free-Bedingung. Es ist jedoch wichtig zu beachten, dass ein synchroner Handler die Reaktionsfähigkeit der Anwendung beeinträchtigen kann. Nach dem Upgrade oder der Implementierung eines Workarounds sollte die Anwendung gründlich auf Stabilität und Funktionalität getestet werden, um sicherzustellen, dass die Behebung die Anwendung nicht negativ beeinflusst. Überprüfen Sie die Electron-Versionsnummer Ihrer Anwendung, um festzustellen, ob ein Upgrade erforderlich ist. Konsultieren Sie die offizielle Electron-Dokumentation für detaillierte Anweisungen zum Upgrade-Prozess.