プラットフォーム
nodejs
コンポーネント
electron
修正版
38.8.7
39.0.1
40.0.1
41.0.1
38.8.6
CVE-2026-34776は、macOSおよびLinuxにおいて、app.requestSingleInstanceLock()を呼び出すアプリケーションが、細工されたメッセージの解析時にヒープからの範囲外読み取りを起こす脆弱性です。漏洩したメモリがアプリケーションのsecond-instanceイベントハンドラに渡される可能性があります。この問題は、Electronアプリと同じユーザーとして実行されているプロセスに限定されます。バージョン38.8.6, 40.8.1, 41.0.0で修正されました。
CVE-2026-34776 は、macOS および Linux で app.requestSingleInstanceLock() を使用する Electron アプリケーションに影響します。この脆弱性は、作成された 2 番目のインスタンス メッセージを解析する際に、ヒープ外読み込みを可能にします。これにより、メモリがアプリケーションの second-instance イベント ハンドラに渡される可能性があります。この脆弱性は、Electron アプリケーションと同じユーザーとして実行されているプロセスでのみ悪用できることに注意することが重要です。app.requestSingleInstanceLock() を呼び出さないアプリケーションは影響を受けません。また、Windows はこの問題の影響を受けません。
攻撃者は、悪意のある 2 番目のインスタンス メッセージを作成し、app.requestSingleInstanceLock() を使用している脆弱な Electron アプリケーションに送信できます。アプリケーションが適切な検証なしにこのメッセージを処理すると、ヒープ外読み込みが発生する可能性があり、攻撃者が機密情報を読み取ったり、任意のコードを実行したりする可能性があります。エクスプロイトの成功は、攻撃者が 2 番目のインスタンス メッセージを制御できるかどうかに依存し、プロセスが Electron アプリケーションと同じ権限で実行されている必要があります。
Developers and users of Electron applications that utilize app.requestSingleInstanceLock() on macOS and Linux are at risk. This includes applications built using frameworks like React, Angular, or Vue.js that leverage Electron for desktop deployment. Shared hosting environments where multiple Electron applications run under the same user account could amplify the potential impact.
• linux / server: Monitor Electron application logs for errors related to memory access or crashes. Use ps and lsof to identify running Electron processes and their associated files.
ps aux | grep electron
lsof -p $(pidof electron)• windows / supply-chain: Use Process Monitor to observe Electron application processes and identify any unusual file access patterns or memory reads. Check Autoruns for any suspicious Electron-related entries.
Get-Process electron | Select-Object Id, ProcessName, Path• generic web: While this vulnerability is not directly web-facing, monitor Electron-based desktop applications for unexpected behavior or crashes after receiving second-instance messages.
disclosure
エクスプロイト状況
EPSS
0.01% (3% パーセンタイル)
CISA SSVC
推奨される解決策は、Electron バージョン 38.8.6 以降に更新することです。現在、この問題を軽減するためのアプリケーションレベルの回避策はありません。app.requestSingleInstanceLock() に依存する開発者は、潜在的な攻撃を防ぐために、できるだけ早くアプリケーションを更新することを強くお勧めします。Electron の更新を定期的に監視し、セキュリティ パッチを適用することは、アプリケーションのセキュリティを維持するための基本的なプラクティスです。
Actualice a una versión de Electron que incluya la corrección, como 38.8.6, 39.8.1, 40.8.1 o 41.0.0. Esta actualización aborda una vulnerabilidad de lectura fuera de límites en el manejo de mensajes de segunda instancia, previniendo la posible fuga de memoria a aplicaciones que utilizan `app.requestSingleInstanceLock()`.
脆弱性分析と重要アラートをメールでお届けします。
これは、Electron の関数で、アプリケーションのインスタンスが同時に 1 つだけ実行されることを保証します。2 番目のインスタンスが起動されると、最初のインスタンスに接続されます。
Electron アプリケーションが app.requestSingleInstanceLock() を使用しており、macOS または Linux で実行されている場合は、脆弱である可能性があります。Electron のバージョンを確認してください。
ニーズに応じて、複数のインスタンスの実行を制御するための独自のロジックを実装できますが、これにはかなりの開発作業が必要です。
直接的な回避策はありませんが、入力データの厳格な検証など、追加のセキュリティ対策を実装して、エクスプロイトのリスクを軽減することを検討してください。
いいえ、この脆弱性は Windows で実行されている Electron アプリケーションには影響しません。
CVSS ベクトル