PT-2020-15164 · Facebook · React Native+1

Publicado 2020-09-04 · Atualizado 2022-05-24 · CVE-2020-1911

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Facebook Hermes anteriores ao commit fe52854cdf6725c2eaa9e125995da76e6ceb27da

Descrição

Existe uma falha de confusão de tipos ao resolver propriedades de objetos JavaScript com cadeias de protótipos especialmente criadas. Isso poderia permitir que invasores executassem código arbitrário por meio de JavaScript malicioso, mas somente se o aplicativo que utiliza o Hermes permitir a avaliação de JavaScript não confiável. A maioria dos aplicativos React Native não é afetada.

Recomendações

Para versões do Facebook Hermes anteriores ao commit fe52854cdf6725c2eaa9e125995da76e6ceb27da, atualize para uma versão que inclua a correção do commit fe52854cdf6725c2eaa9e125995da76e6ceb27da para resolver o problema. Como solução alternativa temporária, considere restringir a avaliação de JavaScript não confiável em aplicativos que utilizam o Hermes.

Correção

Type Confusion

Enumeração de Fraquezas

CWE-843

Identificadores relacionados

CVE-2020-1911

GHSA-F5X2-XV93-4P23

Produtos afetados

Hermes

React Native

Referências · 5

• https://github.com/facebook/hermes/commit/fe52854cdf6725c2eaa9e125995da76e6ceb27da · Correção
• https://osv.dev/vulnerability/GHSA-f5x2-xv93-4p23 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-1911 · Nota de Segurança
• https://facebook.com/security/advisories/cve-2020-1911 · Nota
• https://osv.dev/vulnerability/CVE-2020-1911 · Aviso do Fabricante