Krytyczna luka w vm2 3.11.6 umożliwiająca ucieczkę z sandbox i zdalne wykonanie kodu

Co wiadomo

Wersja vm2 3.11.6 zawiera poważną lukę pozwalającą na ucieczkę z sandbox i zdalne wykonanie kodu w procesie Node.js hosta. Problem wynika z niepełnej poprawki mechanizmu sanitizacji odrzuconych obietnic (Promise), co umożliwia nieautoryzowany dostęp do obiektów hosta.

Wpływ biznesowy

Luka ta pozwala złośliwemu kodowi uruchomionemu w izolowanym środowisku vm2 na uzyskanie pełnej kontroli nad procesem Node.js hosta, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami hosta. Może to skutkować poważnymi naruszeniami bezpieczeństwa, w tym kradzieżą danych, eskalacją uprawnień i utratą integralności systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie vm2 do wersji 3.11.7 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz ekspozycję środowisk korzystających z vm2, monitoruj logi pod kątem podejrzanej aktywności oraz przeprowadź przegląd uprawnień i konfiguracji sandbox. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzanie aktualizacjami oraz pomoc w ograniczaniu ekspozycji sieciowej i analizie logów.

Źródła

• NVD
• Reference
• Reference