PT-2020-15169 · Facebook · React Native+1

Publicado 2020-10-26 · Atualizado 2022-05-24 · CVE-2020-1915

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Facebook Hermes anteriores ao commit 8cb935cd3b2321c46aa6b7ed8454d95c75a7fca0

Descrição

Uma leitura fora dos limites no interpretador JavaScript permite que invasores causem um ataque de negação de serviço ou possíveis danos adicionais à memória por meio de código JavaScript malicioso. Essa vulnerabilidade só pode ser explorada se o aplicativo que utiliza o Hermes permitir a execução de código JavaScript não confiável. A maioria dos aplicativos React Native não é afetada.

Recomendações

Para versões do Facebook Hermes anteriores ao commit 8cb935cd3b2321c46aa6b7ed8454d95c75a7fca0, atualize para uma versão que inclua a correção para este problema. Como solução alternativa temporária, considere restringir a avaliação de JavaScript não confiável em aplicativos que utilizam o Hermes para minimizar o risco de exploração.

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

CVE-2020-1915

GHSA-X4CF-6JR3-3QVP

Produtos afetados

Hermes

React Native

Referências · 8

• https://github.com/facebook/hermes/commit/8cb935cd3b2321c46aa6b7ed8454d95c75a7fca0 · Correção
• https://github.com/facebook/hermes/issues/373 · Nota
• https://github.com/facebook/hermes · Nota
• https://osv.dev/vulnerability/CVE-2020-1915 · Aviso do Fabricante
• https://t.me/cibsecurity/15592 · Publicação no Telegram
• https://facebook.com/security/advisories/cve-2020-1915 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x4cf-6jr3-3qvp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-1915 · Nota de Segurança