CVE-2023-37466
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 81 - wyżej niż 81% wszystkich znanych CVE
Streszczenie
Biblioteka vm2, zaawansowane środowisko sandbox dla Node.js, zawiera krytyczne problemy bezpieczeństwa i nie powinna być używana w produkcji. W wersjach do 3.9.19 możliwe jest obejście sanitizacji handlerów `Promise`, co pozwala atakującym na ucieczkę z sandboxa i uruchomienie dowolnego kodu.
Ocena ryzyka
Umożliwienie atakującym na wykonanie dowolnego kodu w kontekście sandboxa vm2 stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.10.0 lub nowszej, która zawiera poprawkę dla tego problemu bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
vm2 is an advanced vm/sandbox for Node.js. The library contains critical security issues and should not be used for production. The maintenance of the project has been discontinued. In vm2 for versions up to 3.9.19, `Promise` handler sanitization can be bypassed with the `@@species` accessor property allowing attackers to escape the sandbox and run arbitrary code, potentially allowing remote code execution inside the context of vm2 sandbox. Version 3.10.0 contains a patch for the issue.