PT-2021-10264 · Facebook · Hhvm

Jjergus · Publicado 2021-03-11 · Atualizado 2021-03-18 · CVE-2020-1899

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do HHVM anteriores à 4.32.3

Versões do HHVM da 4.33.0 à 4.62.0

Descrição:

A função unserialize() possui um código de tipo, “S”, que deveria ser compatível apenas com a serialização APC. Esse código de tipo permitia que endereços de memória arbitrários fossem acessados como se fossem objetos StringData estáticos.

Recomendações:

Para versões do HHVM anteriores à 4.32.3, atualize para a versão 4.32.3 ou posterior.

Para versões do HHVM de 4.33.0 a 4.62.0, atualize para uma versão fora desse intervalo, pois essas versões são afetadas pelo problema.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade nas versões 4.57.0, 4.58.0, 4.58.1, 4.59.0, 4.60.0, 4.61.0 e 4.62.0.

Correção

Untrusted Pointer Dereference

Buffer Overflow

Enumeração de Fraquezas

CWE-822

CWE-119

Identificadores relacionados

CVE-2020-1899

Produtos afetados

Hhvm

Referências · 8

• https://github.com/facebook/hhvm/commit/1107228a5128d3ca1c4add8ac1635d933cbbe2e9 · Correção
• https://t.me/cvenotify/11153 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2020-1899 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-1899 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-1899 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-1899 · Nota de Segurança
• https://hhvm.com/blog/2020/06/30/security-update.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-1899 · Nota de Segurança