Electron: macOS 上の app.moveToApplicationsFolder における AppleScript インジェクション

ElectronのCVE-2026-34779は、JavaScript、HTML、CSSを使用してmacOSシステム上で構築されたクロスプラットフォームデスクトップアプリケーションに影響を与えます。具体的には、38.8.6、39.8.1、40.8.0、および41.0.0-beta.8の前のバージョンに影響します。app.moveToApplicationsFolder()関数は、アプリケーションをアプリケーションフォルダに移動するためにAppleScriptのフォールバックメカニズムを使用します。このフォールバックは、アプリケーションバンドルパス内の特定の文字を正しく処理しません。攻撃者によって作成された悪意のある起動パスは、ユーザーがアプリケーションをアプリケーションフォルダに移動するプロンプトを受け入れると、任意のAppleScriptコードの実行につながる可能性があります。これにより、ユーザーのシステム上で不正なコマンドが実行され、アプリケーションおよびオペレーティングシステムのセキュリティが損なわれる可能性があります。

Electron application developers and users are at risk, particularly those deploying applications on macOS. Applications that rely on app.moveToApplicationsFolder() for installation or update processes are especially vulnerable. Shared hosting environments where multiple Electron applications are deployed on the same server could also amplify the risk if one application is compromised.

• macos: Monitor system logs (Console.app) for unusual AppleScript execution originating from Electron applications. Look for patterns related to file path manipulation or unexpected script calls. • javascript: Review Electron application code for instances of app.moveToApplicationsFolder(). If present, carefully examine the code that constructs the application bundle path for potential vulnerabilities. • generic web: While not directly applicable, monitor network traffic for any unusual connections or data transfers originating from Electron applications, which could indicate compromise.

1. 2026-04-04Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-04
3. 更新日2026-04-08
4. EPSS 更新日2026-04-11

この脆弱性を軽減するには、Electronをバージョン38.8.6以降、39.8.1以降、40.8.0以降、または41.0.0-beta.8以降に更新することをお勧めします。これらのバージョンには、アプリケーションバンドルパス内の特殊文字の処理方法を修正する修正が含まれています。さらに、Electronアプリケーションコードを確認して、app.moveToApplicationsFolder()への不要な依存関係を特定して削除し、アプリケーションインストール管理のためのより安全な代替手段を検討してください。リスクを軽減するために、アプリケーションをできるだけ早く更新する必要があります。