PT-2020-13902 · Jerryscript · Jerryscript

Nszetei · Publicado 2020-06-15 · Atualizado 2021-07-21 · CVE-2020-14163

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

JerryScript versão 2.2.0

Descrição

Foi descoberta uma falha no arquivo ecma/operations/ecma-container-object.c, na qual as operações com pares chave/valor não consideravam o caso em que a coleta de lixo é acionada após a operação de chave, mas antes da operação de valor. Isso é demonstrado pelo acesso de leitura indevido à memória na função ecma gc set object visited, no arquivo ecma/base/ecma-gc.c.

Recomendações

Para a versão 2.2.0 do JerryScript, como solução temporária, considere restringir o acesso à função ecma gc set object visited em ecma/base/ecma-gc.c até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

CVE-2020-14163

Produtos afetados

Jerryscript

Referências · 5

• https://github.com/jerryscript-project/jerryscript/issues/3804 · Nota
• https://github.com/jerryscript-project/jerryscript/commit/c2b662170245a16f46ce02eae68815c325d99821 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-14163 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-14163 · Aviso do Fabricante
• https://t.me/cvenotify/4398 · Publicação no Telegram