Media

@fastly/js-compute has a use-after-free in some host call implementations

Publicada: 26.06.2024
Actualizado: 11.10.2026 10:22

Impact

The implementation of the following functions were determined to include a use-after-free bug:

FetchEvent.client.tlsCipherOpensslName
FetchEvent.client.tlsProtocol
FetchEvent.client.tlsClientCertificate
FetchEvent.client.tlsJA3MD5
FetchEvent.client.tlsClientHello
CacheEntry.prototype.userMetadata of the fastly:cache subsystem
Device.lookup of the fastly:device subsystem

This bug could allow for an unintended data leak if the result of the preceding functions were sent anywhere else, and often results in a Compute service crash causing an HTTP 500 error to be returned. As all requests to Compute are isolated from one another, the only data at risk is data present for a single request.

Patches

This bug has been fixed in version 3.16.0 of the @fastly/js-compute package.

Workarounds

There are no workarounds for this bug, any use of the affected functions introduces the possibility of a data leak or crash in guest code.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	@fastly/js-compute	>= 3.0.0, < 3.16.0	3.16.0

Referencias

Puntuación CVSS 5.3/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:H
Debilidad (CWE): CWE-416
Plataforma: npm
Paquete: @fastly/js-compute
Publicada: 26.06.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-mp3g-vpm9-9vqv - CC BY 4.0

Historial de vulnerabilidades: @fastly/js-compute

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 09.2022 06.2024
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Media 1

Divulgaciones por año

2022: 1
2023: 0
2024: 1
2025: 0
2026: 0

26.06.2024

@fastly/js-compute has a use-after-free in some host call implementations esta entrada

Media · 5.3 CVE-2024-38375 >= 3.0.0, < 3.16.0 3.16.0
20.09.2022

Fastly Compute@Edge JS Runtime has fixed random number seed during compilation

Alta · 7.5 CVE-2022-39218 >= 0.4.0, < 0.5.3 0.5.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación