CVE-2021-24037

Kritik

Təsvir

hermes-də müəyyən xəta mesajları çıxarılarkən baş verən "use after free" boşluğu, d86e185e485b6330216dee8e854455c694e3a36e commit-indən əvvəlki versiyalarda hücumçulara xüsusi hazırlanmış JavaScript vasitəsilə potensial olaraq ixtiyari kodun icrasına imkan verir. Qeyd edək ki, bu yalnız Hermes istifadə edən tətbiqin etibarsız JavaScript-in qiymətləndirilməsinə (evaluation) icazə verməsi halında istismar edilə bilər. Buna görə də, əksər React Native tətbiqləri bundan təsirlənmir.

CiddilikKritik

CVSS9.8

İstismar ehtimalı—

Məhsul

Facebook Hermes

Dərc15 iyn 2021

İlk görülmə15 iyn 2021

Zəiflik növüCWE-416Azad edilmiş yaddaşın istifadəsi

Necə düzəltmək olar

Yeniləyin

facebook hermes0.8.0 və ya daha yeni versiya
hermes-engine0.8.0 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
facebook hermes	v < 0.8.0	0.8.0
hermes-enginenpm	v < 0.8.0	0.8.0

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.