CVE-2021-39228

Tremor strukturlaşdırılmamış məlumatlar üçün hadisələrin emalı sistemidir. Versiya 0.7.2 və 0.11.6 arasında zəiflik mövcuddur. Bu zəiflik, `state` üzərində `patch` və ya `merge` istifadə edildikdə və nəticə yenidən `state`-ə təyin edildikdə yaranan yaddaş təhlükəsizliyi problemidir. Bu halda, Tremor-un təsirlənmiş versiyaları və tremor-script crate-i artıq boşaldılmış ola biləcək yaddaş istinadlarını saxlayır. Həmin yaddaş bölgələrinə `state`-i əldə etməklə, məsələn, onu TCP və ya HTTP vasitəsilə göndərməklə daxil olmaq mümkündür. Bunun üçün Tremor serverinin (və ya tremor-script istifadə edən hər hansı digər proqramın) qeyd olunan dil konstruksiyasından istifadə edən tremor-script skriptini icra etməsi tələb olunur. Problem, optimallaşdırmanın ləğv edilməsi və Merge və ya Patch-in hədəf ifadəsinin həmişə klonlanması ilə versiya 0.11.6-da aradan qaldırılıb. Yeniləmə mümkün deyilsə, müvəqqəti dəyişən tətbiq etməklə və `state`-ə dərhal yenidən təyin etməməklə optimallaşdırmadan yayınmaq mümkün alternativdir.