CVE-2026-43997

Ucieczka z sandboxa w bibliotece vm2 dla Node.js (RCE)

CVSS 10.0v3.1pub. 2026-05-13upd. 2026-06-30

Biblioteka vm2 (sandbox dla Node.js) w wersjach przed 3.11.0 pozwala atakującemu na uzyskanie dostępu do obiektu hosta i ucieczkę z izolowanego środowiska wykonania kodu. Podatność jest krytyczna, ponieważ umożliwia całkowite przełamanie izolacji sandboxa.

▸ Pokaż oryginał (EN)

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, it is possible to obtain the host Object. There are various ways to use the host Object, to escape the sandbox, one example would be using HostObject.getOwnPropertySymbols to obtain Symbol(nodejs.util.inspect.custom). This vulnerability is fixed in 3.11.0.

🤖 Analiza AI

Jak działa

Podatność (CWE-94 — improper control of code generation) polega na możliwości uzyskania referencji do obiektu hosta z poziomu kodu uruchamianego wewnątrz sandboxa. Przykładową metodą eksploitacji jest wywołanie metody `getOwnPropertySymbols` na obiekcie hosta w celu pobrania symbolu `Symbol(nodejs.util.inspect.custom)`, co umożliwia dalsze manipulowanie środowiskiem Node.js poza sandboxem. Po uzyskaniu dostępu do obiektu hosta atakujący może wykonywać dowolny kod w kontekście procesu hosta.

Skutki

Atakujący może uciec z izolowanego sandboxa i wykonać dowolny kod na serwerze hosta (RCE), co w praktyce oznacza pełną kompromitację systemu, na którym działa aplikacja korzystająca z vm2.

Mitygacja

Należy niezwłocznie zaktualizować bibliotekę vm2 do wersji 3.11.0 lub nowszej, w której podatność została naprawiona. Szczegóły dostępne w referencjach producenta na GitHub Security Advisories.