CVE-2022-40138CWE-681

CVE-2022-40138: falha em Facebook Hermes

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Hermes

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

3Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 1.2%
Em resumo

O Hermes, um motor JavaScript, tem um defeito na conversão de números durante a criação do bytecode que permite a um atacante acessar memória além dos limites e executar código malicioso se JavaScript não confiável for executado.

Detalhe técnico

Uma vulnerabilidade de conversão de inteiros na geração de bytecode do Hermes permite acesso a memória fora dos limites através de JavaScript especialmente criado. O ataque requer execução de código não confiável; a exploração possibilita execução de código arbitrário com privilégios do processo Hermes.

Resumo gerado e traduzido por IA a partir da descrição oficial.
An integer conversion error in Hermes bytecode generation, prior to commit 6aa825e480d48127b480b08d13adf70033237097, could have been used to perform Out-Of-Bounds operations and subsequently execute arbitrary code. Note that this is only exploitable in cases where Hermes is used to execute untrusted JavaScript. Hence, most React Native applications are not affected.
Produtos afetados
Facebook · Hermes
CVEs relacionadas — Facebook Hermes

No mesmo produto, das mais perigosas para as menos.

CVE-2020-1896—CVE-2020-1896EPSS 2.5%CVE-2020-1914—CVE-2020-1914EPSS 2.5%CVE-2020-1911—CVE-2020-1911EPSS 2.0%CVE-2020-1912—CVE-2020-1912EPSS 1.8%CVE-2021-24037—CVE-2021-24037EPSS 1.8%CVE-2020-1915—CVE-2020-1915EPSS 1.6%