Electron: サービスワーカーが executeJavaScript IPC の応答を偽装できる

Electron の CVE-2026-34778 は、セッション内で実行されているサービスワーカーが、webContents.executeJavaScript() および関連メソッドで使用される内部 IPC チャンネル上の応答メッセージを偽装することを可能にします。これにより、メインプロセスの Promise が攻撃者によって制御されたデータで解決される可能性があります。アプリケーションが影響を受けるのは、サービスワーカーが登録されており、webContents.executeJavaScript() (または webFrameMain.executeJavaScript()) の結果をセキュリティに重要な意思決定に使用している場合のみです。影響は、攻撃者がアプリケーションの重要なロジックで使用されるデータを操作し、不正なアクションやデータ漏洩につながる可能性がある点にあります。

Applications built with Electron that register service workers and utilize webContents.executeJavaScript() for security-sensitive operations are at risk. This includes desktop applications, web applications packaged as desktop apps, and any Electron-based tools that rely on the return values of webContents.executeJavaScript() for authentication, authorization, or data validation.

• nodejs / supply-chain: Monitor Electron application processes for unusual IPC activity. Use ps aux | grep electron to identify running Electron processes. Inspect the arguments passed to webContents.executeJavaScript() for suspicious patterns. • generic web: Examine application logs for errors related to IPC communication or unexpected data received from the renderer process. Look for unusual patterns in network traffic associated with the Electron application.

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-03
3. 更新日2026-04-06
4. EPSS 更新日2026-04-11

推奨される解決策は、Electron をバージョン 38.8.6 以降にアップグレードすることです。一時的な回避策として、セキュリティに重要な意思決定のために webContents.executeJavaScript() の戻り値を信頼しないでください。メインプロセスで受信したデータの整合性を検証するために、追加の検証を実装することを検討してください。アプリケーションのコードを定期的に確認し、脆弱になる可能性がある webContents.executeJavaScript() のインスタンスを特定してください。パッチが適用されたバージョンにアップグレードすることが最も効果的な軽減策であり、脆弱性の根本原因に対処します。