CVE-2026-44004
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece vm2 dla Node.js przed wersją 3.11.0 pozwala uruchomionemu w sandboxie kodowi na wywołanie funkcji Buffer.alloc() z dowolnym rozmiarem, co prowadzi do alokacji pamięci bezpośrednio na stercie hosta. Ponieważ Buffer.alloc jest synchronicznym natywnym wywołaniem C++, opcja timeout w vm2 nie jest w stanie przerwać tej operacji, co umożliwia wyczerpanie pamięci hosta i awarię procesu.
Ocena ryzyka
Ryzyko polega na tym, że pojedyncze żądanie może doprowadzić do wyczerpania pamięci operacyjnej serwera i awarii procesu, co skutkuje przerwaniem działania usługi (DoS). Atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu odmowa usługi bez konieczności posiadania specjalnych uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę vm2 do wersji 3.11.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność. Jeśli aktualizacja nie jest możliwa, należy rozważyć zastosowanie dodatkowych mechanizmów ograniczających alokację pamięci na poziomie kontenera lub systemu operacyjnego.
Inne podatności w vm2
Zobacz wszystkie- CVE-2026-47698Krytyczne
vm2 to otwartoźródłowa piaskownica dla Node.js. Przed wersją 3.11.6, lib/bridge.js i lib/setup-sandbox.js nie blokują pośredniego wywołania przez Function.prototype.call wokół niebezpiecznych mutatorów prototypów hosta, co pozwala kodowi piaskownicy na zerwanie łańcucha prototypów i dotarcie do e.constructor.constructor w celu wykonania dowolnych poleceń na hoście. Problem naprawiono w wersji 3.11.6.
- CVE-2026-47686Krytyczne
vm2 to otwartoźródłowa piaskownica dla Node.js. Przed wersją 3.11.6, funkcja handleException() w lib/setup-sandbox.js oczyszcza SuppressedError.error, SuppressedError.suppressed i AggregateError.errors, ale nie oczyszcza Error.cause, co pozwala kodowi piaskownicy uzyskać potężny obiekt hosta, taki jak process, z funkcji hosta, która rzuca błąd z tym obiektem jako przyczyną, a następnie wykonać dowolne polecenia na hoście. Problem naprawiono w wersji 3.11.6.
- CVE-2026-47210Krytyczne
W vm2, przed wersją 3.11.4, występowała podatność na ucieczkę z piaskownicy, która umożliwiała wykonanie dowolnego kodu w procesie hosta podczas wykonywania nieufnego kodu z obsługą asynchroniczną. Problem ten został naprawiony w wersji 3.11.4.
- CVE-2026-47208Krytyczne
vm2 to otwarte źródło vm/sandbox dla Node.js. Przed wersją 3.11.4, vm2 ma podatność na wyjście z piaskownicy, co pozwala atakującym na wykonanie dowolnych poleceń na systemie gospodarza.
- CVE-2026-47140Krytyczne
vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.11.4, NodeVM blokuje kilka niebezpiecznych wbudowanych funkcji Node.js, jednak lista zablokowanych elementów nie obejmowała process oraz inspector/promises, co pozwala na obejście tych ograniczeń.
- CVE-2026-47137Krytyczne
W wersjach przed 3.11.4 biblioteka vm2 zawierała lukę, która pozwalała na obejście zabezpieczeń związanych z opcjami 'nesting: true' i 'require: false'. Sprawdzenie równości ścisłej w kodzie nie działało poprawnie, co umożliwiało wykorzystanie nieautoryzowanych wymagań.
- CVE-2026-47131Krytyczne
vm2 to otwarte źródło vm/sandbox dla Node.js. Przed wersją 3.11.4, poprzez kombinację określonych wywołań, możliwe było uzyskanie konstruktora TypeError hosta, co pozwalało na ucieczkę z sandboxa i uruchamianie dowolnego kodu.
- CVE-2026-45411Krytyczne
W bibliotece vm2 dla Node.js przed wersją 3.11.3 wykryto podatność umożliwiającą przechwycenie wyjątku hosta za pomocą wyrażenia yield* w asynchronicznym generatorze. Zamknięcie generatora funkcją return powoduje oczekiwanie na wartość, a wyjątki w then mogą być przechwycone i przekazane jako następna wartość do iteratora yield*, co pozwala na ucieczkę z sandboksa i wykonanie dowolnych poleceń na systemie.
- CVE-2026-44009Krytyczne
Podatność w bibliotece vm2 dla Node.js umożliwia ominięcie sandboksa. Problem został naprawiony w wersji 3.11.2.
- CVE-2026-44008Krytyczne
Podatność w bibliotece vm2 dla Node.js przed wersją 3.11.2 pozwala na ucieczkę z piaskownicy poprzez metodę neutralizeArraySpeciesBatch, która może wywołać kod po stronie hosta za pomocą gettera na prototypie tablicy. Umożliwia to atakującym uzyskanie obiektów hosta i funkcji Function, co prowadzi do wykonania dowolnych poleceń na systemie.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, sandboxed code can call Buffer.alloc() with an arbitrary size to allocate memory directly on the host heap. Because Buffer.alloc is a synchronous C++ native call, vm2's timeout option cannot interrupt it. A single request can exhaust host memory and crash the process with a FATAL ERROR: Reached heap limit. This vulnerability is fixed in 3.11.0.