Vulnerabilidad en ECMAScript (CVE-2024-43357)

ECMA-262 es la especificación del lenguaje para el lenguaje de scripting ECMAScript. Un problema en la especificación ECMAScript (JavaScript) de los generadores asíncronos, introducido por una refactorización de especificaciones de mayo de 2021, puede provocar una implementación incorrecta de una manera que podría presentarse como una vulnerabilidad de seguridad, como confusión de tipos y desreferencia de puntero. La maquinaria interna del generador asíncrono llama a funciones regulares de resolución de promesas en los objetos IteratorResult (`{ done, value }`) que crea, asumiendo que los objetos IteratorResult no serán habilitables en ese momento. Desafortunadamente, estos objetos IteratorResult heredan de `Object.prototype`, por lo que estos objetos IteratorResult pueden volverse compatibles, lo que desencadena un comportamiento arbitrario, incluido el reingreso a la maquinaria del generador asíncrono de una manera que viola algunas invariantes internas. La especificación ECMAScript es un estándar de vida y el problema se ha abordado en el momento de la divulgación pública de este aviso. Los implementadores del motor JavaScript deben consultar la especificación más reciente y actualizar sus implementaciones para cumplir con la sección "AsyncGenerator". ## Referencias: https://github.com/tc39/ecma262/commit/1e24a286d0a327d08e1154926b3ee79820232727 - https://bugzilla.mozilla.org/show_bug.cgi?id=1901411 - https://github.com/boa-dev/ boa/security/advisories/GHSA-f67q-wr6w-23jq - https://bugs.webkit.org/show_bug.cgi?id=275407 - https://issues.chromium.org/issues/346692561 - https:// www.cve.org/CVERecord?id=CVE-2024-7652