| Title | Electerm projectのElectermにおける複数の脆弱性 |
|---|---|
| Summary | electermはオープンソースのターミナル/ssh/sftp/telnet/シリアルポート/RDP/VNC/Spice/ftpクライアントです。バージョン3.8.15以前では、src/app/lib/ipc-sync.js内のgetConstants() IPCハンドラがprocess.envオブジェクト全体をシリアライズしてレンダラーに送信します。このデータはwindow.pre.envとして保存され、レンダラー上で動作する任意のJavaScript（例：DevToolsコンソールや侵害されたWebViewコンテキスト経由）からアクセス可能です。攻撃者がレンダラー内で任意のJavaScript実行を達成すると、これらの秘密情報をリモートサーバーに簡単に送信でき、それによってクラウドアカウントの乗っ取りやサプライチェーン攻撃、および横展開が引き起こされます。公開時点で、利用可能なパッチは存在しません。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 8, 2026, midnight |
| Registration Date | May 11, 2026, 11:04 a.m. |
| Last Update | May 11, 2026, 11:04 a.m. |
| CVSS3.0 : 警告 | |
| Score | 5.5 |
|---|---|
| Vector | CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Electerm project |
| Electerm 3.8.15 およびそれ以前 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月11日] 掲載 |
May 11, 2026, 11:04 a.m. |
| Summary | electerm is an open-sourced terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp client. In versions 3.8.15 and prior, the getConstants() IPC handler in src/app/lib/ipc-sync.js serialises the entire process.env object and sends it to the renderer. The data is stored as window.pre.env and is accessible from any JavaScript running in the renderer (e.g., via the DevTools console or a compromised webview context). An attacker who achieves any JavaScript execution within the renderer can trivially exfiltrate these secrets to a remote server, leading to cloud account compromise, supply chain attacks, and lateral movement. At time of publication, there are no publicly available patches. |
|---|---|
| Publication Date | May 8, 2026, 1:16 p.m. |
| Registration Date | May 9, 2026, 4:11 a.m. |
| Last Update | May 9, 2026, 12:54 a.m. |