PT-2022-24817 · Unknown · Js Compute Runtime

Elliotttpublished + 1 · Publicado 2022-09-20 · Atualizado 2022-09-21 · CVE-2022-39218

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do JS Compute Runtime anteriores à 0.5.3

Descrição

Os métodos Math.random e crypto.getRandomValues não utilizam valores suficientemente aleatórios, tornando a sequência de valores aleatórios previsível. Um invasor pode usar a semente fixa para prever os números aleatórios gerados por essas funções e contornar os controles de segurança criptográfica, potencialmente divulgando dados confidenciais criptografados por funções que utilizam esses geradores.

Recomendações

Para versões anteriores à 0.5.3, atualize para a versão 0.5.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere evitar o uso dos métodos Math.random e crypto.getRandomValues até que a atualização seja aplicada. No entanto, ressalta-se que não há soluções alternativas conhecidas, e a atualização para a versão corrigida é a solução recomendada.

Exploit

Correção

Use of Insufficiently Random Values

Enumeração de Fraquezas

CWE-335

CWE-330

Identificadores relacionados

CVE-2022-39218

GHSA-CMR8-5W4C-44V8

Produtos afetados

Js Compute Runtime

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39218.json · Exploit
• https://github.com/fastly/js-compute-runtime · Nota
• https://github.com/fastly/js-compute-runtime/commit/65524ffc962644e9fc39f4b368a326b6253912a9 · Nota
• https://github.com/fastly/js-compute-runtime/security/advisories/GHSA-cmr8-5w4c-44v8 · Nota
• https://osv.dev/vulnerability/GHSA-cmr8-5w4c-44v8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-39218 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-39218 · Aviso do Fabricante