ElectronのUSB・HIDの権限の判定に欠陥 社内で作ったアプリは44.3.0などへ

デスクトップのアプリを作る土台「Electron」で、USBとHIDの権限の確かめに関わる欠陥CVE-2026-113800が、10月22日(日本時間)に公表されました。HIDは、キーボードやマウス、専用の入力の機器などをつなぐ仕組みです。深刻度はMedium(CVSS 5.4)で、影響するのは一部の作りのアプリだけです。社内で作ったElectronのアプリがあれば、作りを確かめて、修正版で作り直してください。

何が起きていたか

Electronの勧告によると、アプリの中に埋め込んだiframe(別のページを表示する枠)からUSBやHIDの権限を求めたとき、アプリが権限を判断する仕組み(session.setPermissionCheckHandler)に、iframeではなく、いちばん上のページの出どころと情報が渡されていました。そのため、出どころを見て許可を決めているアプリでは、埋め込んだ別のサイトに、本来は上のページのための機器への権限を与えてしまうおそれがありました。

影響するのは、次の両方にあてはまるアプリだけです。

• setPermissionCheckHandlerで、HIDやUSBの許可を出どころで判断している
• 別の出どころのiframeを埋め込み、allow="hid"やallow="usb"を付けている

信用できないiframeにこれらの機能を任せていないアプリは、影響を受けないとしています。

すぐに作り直せない場合の回避策として、信用できないiframeにallow="hid"・allow="usb"を付けないこと、または機器を選ぶ処理(select-hid-device・select-usb-device)でdetails.frameを使って判断することが挙げられています。

影響する会社・しない会社

• 影響する: 社内で作ったElectronのアプリで、USBやHIDの機器(バーコードの読み取り機、カードの読み取り機、専用のキーボードなど)を扱い、外のページをiframeで埋め込んでいる会社です。
• 影響する(確かめが要る): 会社で配っている、Electronで作られたほかの会社のアプリです。作りによるため、各アプリの更新を当てます。
• 影響しない: USBやHIDの権限を使わない、またはiframeにこれらを許していないアプリです。

Electronは10月17日にも、別の脆弱性3件を直しています(Electronに脆弱性3件、組み込み設定の確認と修正版への更新を)。

情シスが今日やること

1. 社内で作ったElectronのアプリを洗い出す。 開発部門や委託先に、社内のアプリのElectronの版と、USB・HIDの機器を扱っているか、外のページをiframeで埋め込んでいるかを確かめてもらいます。
2. 当てはまるアプリを作り直す。 Electron 44.3.0・43.7.0・42.11.3以降で作り直して配ります。すぐに無理なら、勧告の回避策(信用できないiframeにallow="hid"・allow="usb"を付けない)を先に入れます。
3. 配っているアプリを更新する。 Slack、Teams、VS Codeなど、Electronで作られたアプリは、自動の更新が止まっていないかを確かめ、最新の版にそろえます(当社の見立て)。