CVE-2026-34771：electron权限请求处理释放后使用漏洞

Electron应用程序在处理全屏、指针锁定或键盘锁定的权限请求时，如果使用了异步session.setPermissionRequestHandler()，可能存在使用后释放(use-after-free)漏洞。攻击者可以通过诱导请求的框架导航或关闭窗口，在权限处理程序挂起时触发该漏洞。具体来说，当权限请求处理程序（permission handler）的callback被调用时，它会尝试访问已被释放的内存。这可能导致应用程序崩溃，或者更严重的是，导致内存损坏，进而可能允许攻击者执行任意代码。如果攻击者能够控制应用程序的权限请求流程，并成功利用该漏洞，他们可能能够获取应用程序的敏感数据，例如用户凭据、存储在本地的文件，甚至控制应用程序的行为。由于Electron广泛应用于各种桌面应用程序，因此该漏洞的潜在影响范围非常广泛，可能影响数百万用户。攻击者可能通过恶意网站或应用程序诱使用户触发权限请求，从而利用该漏洞。例如，一个恶意网站可以诱导Electron应用程序请求全屏权限，并在请求处理期间关闭窗口，从而触发use-after-free漏洞。

Applications built using Electron that register asynchronous session.setPermissionRequestHandler() are at risk. This includes a wide range of desktop applications, particularly those that handle user permissions or interact with system resources. Developers using Electron for cross-platform development, especially those relying on third-party libraries or components that utilize permission request handlers, should prioritize patching.

• linux / server: Monitor Electron application logs for crashes or segmentation faults. Use ps aux | grep electron to identify running Electron processes and check their resource usage for anomalies.

journalctl -u electron -f | grep -i crash

• windows / supply-chain: Use Process Monitor to observe Electron processes and identify any unusual memory access patterns or crashes. Check Autoruns for suspicious Electron-related entries.

Get-Process -Name electron | Select-Object Id, CPU, WorkingSet

• generic web: If the Electron application interacts with a web server, examine web server access logs for unusual requests that might trigger the permission request handler.

1. 2026-04-03Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-04-03
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-11

为了修复CVE-2026-34771漏洞，请立即将您的Electron应用程序升级到38.8.6、39.8.0、40.7.0或41.0.0-beta.8版本。如果无法立即升级，可以考虑以下临时缓解措施：避免使用异步session.setPermissionRequestHandler()，或者确保在权限请求处理程序中，在导航或窗口关闭时，及时取消或清理所有挂起的异步操作。如果必须使用异步权限请求处理程序，请确保在权限请求处理程序中，在处理权限请求之前，检查框架是否仍然存在，并且窗口是否仍然打开。升级时，建议先在测试环境中验证新版本的功能和兼容性，然后再在生产环境中部署。升级完成后，建议重新编译应用程序，以确保所有依赖项都已更新。验证升级是否成功，可以通过检查应用程序是否不再出现崩溃或内存损坏等问题来确认。