JVNDB-2025-026107

ArduinoのArduino IDEにおける不適切なデフォルトパーミッションに関する脆弱性

Arduino IDEは統合開発環境です。バージョン2.3.7より前のmacOS向けArduino IDEは、重要なアプリケーションコンポーネントに対して全ユーザーが書き込み可能なファイル権限でインストールされるため、任意のローカルユーザーが正当なファイルを悪意のあるコードに置き換えることができます。別のユーザーがアプリケーションを起動すると、そのユーザーの権限で悪意のあるコードが実行され、権限昇格と機密データへの不正アクセスを引き起こします。この問題の修正はバージョン2.3.7のリリースに含まれています。

Arduino

• Arduino IDE 2.3.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Arduino

• Arduino Help Center : ASEC-25-004 - Arduino-IDE v2.3.7 Resolves Multiple Vulnerabilities  Arduino Help Center

GitHub

• GitHub Advisory Database : Insecure File Permissions in Arduino IDE for macOS  Advisory  arduino/arduino-ide  GitHub

1. 不適切なデフォルトパーミッション(CWE-276) [その他]

1. CVE-2025-64724

1. National Vulnerability Database (NVD) : CVE-2025-64724
2. 関連文書 : Release 2.3.7  arduino/arduino-ide  GitHub
3. 関連文書 : Commit range not found  Pull Request #2805  arduino/arduino-ide  GitHub

• [2026年02月20日]
    掲載