CVE-2022-40138CWE-681

CVE-2022-40138: fallo en Facebook Hermes

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Hermes

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

3Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 1.2%
En resumen

Hermes, un motor JavaScript, tiene un defecto en cómo convierte números al crear bytecode que podría permitir a un atacante acceder a memoria fuera de los límites previstos y ejecutar código malicioso si se ejecuta JavaScript no confiable.

Detalle técnico

Una vulnerabilidad de conversión de enteros en la generación de bytecode de Hermes permite acceso a memoria fuera de límites mediante JavaScript especialmente diseñado. El ataque requiere ejecución de código no confiable; la explotación permite ejecución de código arbitrario con los privilegios del proceso Hermes.

Resumen generado y traducido por IA a partir de la descripción oficial.
An integer conversion error in Hermes bytecode generation, prior to commit 6aa825e480d48127b480b08d13adf70033237097, could have been used to perform Out-Of-Bounds operations and subsequently execute arbitrary code. Note that this is only exploitable in cases where Hermes is used to execute untrusted JavaScript. Hence, most React Native applications are not affected.
Productos afectados
Facebook · Hermes
CVEs relacionadas — Facebook Hermes

En el mismo producto, de las más peligrosas a las menos.

CVE-2020-1896—CVE-2020-1896EPSS 2.5%CVE-2020-1914—CVE-2020-1914EPSS 2.5%CVE-2020-1911—CVE-2020-1911EPSS 2.0%CVE-2020-1912—CVE-2020-1912EPSS 1.8%CVE-2021-24037—CVE-2021-24037EPSS 1.8%CVE-2020-1915—CVE-2020-1915EPSS 1.6%