PT-2022-18605 · Hermes · Hermes

Publicado 2022-10-06 · Atualizado 2022-10-11 · CVE-2022-27810

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Hermes anteriores à v0.12.0

Descrição

A falha permite que uma condição de recursão infinita seja acionada no manipulador de erros quando o Hermes executa código JavaScript específico criado com intenção maliciosa. Essa condição só pode ser acionada no modo de desenvolvimento (dev-mode), quando as verificações (asserts) estão ativadas.

Recomendações

Para versões anteriores à v0.12.0, atualize para a versão v0.12.0 ou posterior para resolver o problema. Como solução temporária, considere desativar o modo de desenvolvimento até que um patch esteja disponível. Restrinja a execução de JavaScript malicioso para minimizar o risco de exploração.

Correção

Uncontrolled Recursion

Enumeração de Fraquezas

CWE-674

Identificadores relacionados

CVE-2022-27810

Produtos afetados

Hermes

Referências · 4

• https://osv.dev/vulnerability/CVE-2022-27810 · Aviso do Fabricante
• https://facebook.com/security/advisories/cve-2022-27810 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-27810 · Nota de Segurança
• https://t.me/cibsecurity/50936 · Publicação no Telegram