Критична вразливість у vm2 3.11.6 дозволяє обхід sandbox та віддалене виконання коду

Що відомо

У vm2 версії 3.11.6 виявлено критичну вразливість, що дозволяє шкідливому коду в sandbox отримати доступ до хост-процесу Node.js та виконувати довільні команди. Проблема пов’язана з неповним виправленням механізму перевірки Promise, що може призвести до обходу санітизації помилок.

Бізнес-вплив

Ця вразливість може призвести до повного компрометації хост-системи, на якій працює Node.js, через виконання довільного коду з привілеями процесу. Для організацій, що використовують vm2 для ізоляції коду, це створює серйозний ризик витоку даних та порушення цілісності системи. Вразливість має максимальний рівень критичності (CVSS 10.0).

Рекомендовані дії адміністратора

Рекомендується негайно оновити vm2 до версії 3.11.7 або пізнішої, де ця вразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити використання sandbox для небезпечного коду, ретельно перевіряти журнали на ознаки експлуатації та мінімізувати мережевий доступ до уразливих сервісів. Перевірте версії компонентів у вашому середовищі та використовуйте підтримку DataHouse для управління патчами та зменшення мережевої експозиції.

Джерела

• NVD
• Reference
• Reference