Podatność w bibliotece SandboxJS (przed wersją 0.8.31) pozwala na ucieczkę z sandboxu JavaScript i zanieczyszczenie prototypów obiektów hosta (prototype pollution). W aplikacjach korzystających z zanieczyszczonych właściwości w newralgicznych miejscach (np. execSync) może to prowadzić do zdalnego wykonania kodu (RCE).
▸ Pokaż oryginał (EN)
SandboxJS is a JavaScript sandboxing library. Prior to 0.8.31, a sandbox escape vulnerability allows sandboxed code to mutate host built-in prototypes by laundering the isGlobal protection flag through array literal intermediaries. When a global prototype reference (e.g., Map.prototype, Set.prototype) is placed into an array and retrieved, the isGlobal taint is stripped, permitting direct prototype mutation from within the sandbox. This results in persistent host-side prototype pollution and may enable RCE in applications that use polluted properties in sensitive sinks (example gadget: execSync(obj.cmd)). This vulnerability is fixed in 0.8.31.
Mechanizm ochrony isGlobal, który ma blokować mutację wbudowanych prototypów hosta, może zostać ominięty poprzez umieszczenie globalnej referencji do prototypu (np. Map.prototype, Set.prototype) w literale tablicowym. Po pobraniu wartości z tablicy flaga isGlobal jest tracona, co pozwala kodowi działającemu w sandboxie na bezpośrednią mutację prototypów po stronie hosta. W efekcie zanieczyszczenie prototypów jest trwałe i widoczne poza sandboxem. Jeśli aplikacja korzysta z zanieczyszczonych właściwości w newralgicznych wywołaniach (np. execSync(obj.cmd)), możliwe jest wykonanie dowolnego kodu systemowego.
Atakujący może trwale zmodyfikować prototypy wbudowanych obiektów JavaScript po stronie hosta, co w sprzyjających warunkach prowadzi do zdalnego wykonania kodu (RCE) na serwerze lub w środowisku uruchomieniowym aplikacji.
Należy zaktualizować bibliotekę SandboxJS do wersji 0.8.31 lub nowszej, w której podatność została naprawiona. Szczegóły dostępne w oficjalnym security advisory oraz commicie producenta.
Nyariv SandboxJS w wersjach przed 0.8.31
Poprawka została wprowadzona w wersji 0.8.31. Dostępne są publiczne referencje: commit naprawczy na GitHub oraz security advisory GHSA-ww7g-4gwx-m7wj.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HNyariv Sandboxjs
APPNyariv< 0.8.31
Powiązane podatności
SandboxJS: ucieczka z piaskownicy przez Function.caller i RCE
SandboxJS: obejście ochrony sandbox przez ścieżkę konstruktora
Ucieczka z sandbox w bibliotece Nyariv SandboxJS (RCE)
Ucieczka z sandboxa w SandboxJS — wykonanie kodu poza piaskownicą
Ucieczka z sandboxa w bibliotece SandboxJS poprzez nadpisanie Map.prototype