CVE-2025-62493: Leitura heap fora dos limites na conversão de BigInt para string no QuickJS

Visão geral

A CVE-2025-62493 afeta a lógica de conversão de BigInt para string (js_bigint_to_string1) no motor JavaScript QuickJS. Segundo o registro, o número de dígitos é calculado com erro de uma unidade, de modo que o laço de conversão pode ler um limb além da memória efetivamente alocada para o BigInt. O registro a classifica como CWE-125, Leitura fora dos limites. Fontes: entrada da NVD e registro CVE.

Impacto

• O registro descreve o efeito como uma leitura fora dos limites da memória do heap adjacente ao objeto BigInt, o que pode resultar em divulgação de informações.
• A NVD atribui CVSS 3.1 de 6.5 (vetor AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N), indicando alto impacto na confidencialidade e nenhum impacto em integridade ou disponibilidade.
• O Google informa CVSS 4.0 de 5.9 no registro.
• Os dados SSVC do registro indicam impacto técnico parcial e automatizável como não.

Produtos e versões afetadas

O registro lista as seguintes faixas:

• QuickJS QuickJS: a partir de 2025-04-26 (inclusive) até antes de 2025-09-13.
• Quickjs Project Quickjs: antes de 2025-09-13.

O registro não informa versão corrigida nem entrada de correção. A página de notas de versão aparece nas referências e deve ser consultada para identificar a versão exata que trata o problema.

Status de exploração

O registro indica que o item não consta no catálogo KEV da CISA. Não há exploração confirmada no mundo real nas fontes consultadas. O campo de exploração SSVC está registrado como poc, o que indica, segundo o registro, a disponibilidade de prova de conceito. Uma referência está marcada no registro como relacionada a exploração; seu conteúdo não foi analisado aqui. A probabilidade EPSS registrada é 0,00382, com percentil de 0,30285.

Correção e mitigação

• Identifique as compilações do QuickJS em uso, incluindo cópias embutidas em outros produtos, e compare a versão ou data de build com a faixa afetada.
• Planeje a atualização para uma compilação do QuickJS datada de 2025-09-13 ou posterior, ou para uma versão do fornecedor que incorpore a mudança upstream. Trata-se de inferência a partir da faixa afetada, pois o registro não informa versão corrigida.
• Quando a atualização imediata não for possível, limite a exposição do motor a entradas não confiáveis e isole o runtime em um processo restrito.
• Revise a entrada do changelog upstream para identificar a versão exata de correção antes da implantação.

Orientação de detecção

• Inventarie as dependências do QuickJS por meio de SBOM ou metadados de build para localizar cópias vulneráveis.
• Monitore falhas inesperadas, anomalias de memória ou saídas incomuns em aplicações que incorporam o QuickJS e processam valores BigInt de origens não confiáveis.
• Acompanhe avisos de fornecedores e do projeto upstream para atualizações deste registro.

Limitações das informações disponíveis

O registro não fornece versão corrigida, avaliação de prova de conceito além do campo SSVC, aviso do fornecedor nem confirmação de exploração real. A data EPSS consta como 2026-10-13 e foi reportada conforme registrada, sem verificação independente. A descrição inclui fragmentos de fórmula e de código, que foram resumidos aqui sem reproduzir detalhes de exploração.

Perguntas frequentes

O que é a CVE-2025-62493?

É uma leitura de heap fora dos limites na função de conversão de BigInt para string js_bigint_to_string1 do motor QuickJS, causada por erro de uma unidade no cálculo de dígitos.

Há exploração confirmada?

O registro indica que o item não consta no catálogo KEV da CISA, e não há exploração confirmada no mundo real nas fontes consultadas. O campo SSVC de exploração está registrado como poc.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.