| タイトル | Electronのelectronにおける解放済みメモリの使用に関する脆弱性 |
|---|---|
| 概要 | Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン38.8.6、39.8.1、40.8.0、および41.0.0-beta.8以前には、powerMonitorモジュールを使用するアプリにuse-after-freeの脆弱性が存在する可能性がありました。ネイティブのPowerMonitorオブジェクトがガベージコレクトされた後、関連するOSレベルのリソース（Windows上のメッセージウィンドウやmacOS上のシャットダウンハンドラ）がダングリング参照を保持します。続くセッション変更イベント（Windows）またはシステムシャットダウン（macOS）が解放済みメモリを逆参照すると、これによりクラッシュやメモリ破損が発生する可能性があります。powerMonitorイベント（サスペンド、再開、ロックスクリーンなど）にアクセスするすべてのアプリが潜在的に影響を受けます。この問題はレンダラー側で直接制御できません。この問題はバージョン38.8.6、39.8.1、40.8.0、および41.0.0-beta.8で修正されています。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月4日0:00 |
| 登録日 | 2026年4月24日11:44 |
| 最終更新日 | 2026年4月24日11:44 |
| CVSS3.0 : 重要 | |
| スコア | 8.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| Electron |
| electron 38.8.6 未満 |
| electron 39.0.0 以上 39.8.1 未満 |
| electron 40.0.0 以上 40.8.0 未満 |
| electron 41.0.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月24日] 掲載 |
2026年4月24日11:44 |
| 概要 | Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 38.8.6, 39.8.1, 40.8.0, and 41.0.0-beta.8, apps that use the powerMonitor module may be vulnerable to a use-after-free. After the native PowerMonitor object is garbage-collected, the associated OS-level resources (a message window on Windows, a shutdown handler on macOS) retain dangling references. A subsequent session-change event (Windows) or system shutdown (macOS) dereferences freed memory, which may lead to a crash or memory corruption. All apps that access powerMonitor events (suspend, resume, lock-screen, etc.) are potentially affected. The issue is not directly renderer-controllable. This issue has been patched in versions 38.8.6, 39.8.1, 40.8.0, and 41.0.0-beta.8. |
|---|---|
| 公表日 | 2026年4月4日9:16 |
| 登録日 | 2026年4月15日11:25 |
| 最終更新日 | 2026年4月23日0:10 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:electronjs:electron:*:*:*:*:*:node.js:*:* | 38.8.6 | ||||
| cpe:2.3:a:electronjs:electron:*:*:*:*:*:node.js:*:* | 39.0.0 | 39.8.1 | |||
| cpe:2.3:a:electronjs:electron:*:*:*:*:*:node.js:*:* | 40.0.0 | 40.8.0 | |||
| cpe:2.3:a:electronjs:electron:41.0.0:alpha1:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:alpha2:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:alpha3:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:alpha4:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:alpha5:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:alpha6:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta1:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta2:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta3:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta4:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta5:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta6:*:*:*:node.js:*:* | |||||
| cpe:2.3:a:electronjs:electron:41.0.0:beta7:*:*:*:node.js:*:* | |||||