JVNDB-2026-014251

Electronのelectronにおける解放済みメモリの使用に関する脆弱性

Electronは、JavaScript、HTML、CSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン33.0.0-alpha.1から39.8.5、40.8.5、41.1.0、および42.0.0-alpha.5より前のバージョンには、GPU共有テクスチャを使用したオフスクリーンレンダリングを行うアプリにUse-After-Freeの脆弱性が存在する可能性があります。特定の条件下で、ペイントイベントのテクスチャに提供されるrelease()コールバックが、その裏付けとなるネイティブ状態より長く生存し、release()を後で呼び出すとメインプロセス内で解放済みメモリへの参照が発生し、クラッシュやメモリ破損を引き起こす可能性があります。この脆弱性は、webPreferences.offscreen: {useSharedTexture: true}を使用してオフスクリーンレンダリングを行うアプリに限り影響し、共有テクスチャを有効にしていないアプリには影響しません。この問題を緩和するためには、テクスチャが消費された直後にtexture.release()を呼び出し、テクスチャオブジェクトが到達不能になる前に処理を完了させることが推奨されます。この脆弱性は、39.8.5、40.8.5、41.1.0、および42.0.0-alpha.5で修正されています。

Electron

• electron 33.0.0 以上 39.8.5 未満
• electron 40.0.0 以上 40.8.5 未満
• electron 41.0.0 以上 41.1.0 未満
• electron 42.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Use-after-free in offscreen shared texture release() callback  Advisory  electron/electron  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-34764

1. National Vulnerability Database (NVD) : CVE-2026-34764

• [2026年05月07日]
    掲載