Node.js vm2: Kritische Sandbox-Lücken, 3.11.8 இல் சரி

Sandbox Escape über AggregateError
Kritische Sicherheitslücken lassen Angreifer aus vm2 ausbrechen

டெர் சாண்ட்பாக்ஸ் vm2 ஃபர் நோட்.ஜேஎஸ் ஸ்டெக்கென் மெஹ்ரேர் சிச்செர்ஹெய்ட்ஸ்லுக்கன், ட்ரீ டேவோன் சின்ட் க்ரிடிஸ்ச். Eine ermöglicht den Ausbruch aus der Sandbox samt Codeausführung. பதிப்பு 3.11.8 இல் Korrigiert sind die பிரச்சனை.

Einen Sicherheitshinweis இல் Das BSI தொப்பி sechs vm2-Schwachstellen சேகரிக்கப்பட்ட Angreifer, die die Schwachstellen erfolgreich ausnutzt, können demnach beliebigen Programmcode ühren, Sicherheitsmaßnahmen umgehen, Daten manipulieren oder einen-of-Service-Zustenusand a. Dies sind die Schwachstellen:

vm2 என்பது ஒரு ஓப்பன்-சோர்ஸ்-சாண்ட்பாக்ஸ் ஆகும், இது டெர் நிச்ட் வெர்ட்ராவென்ஸ்வர்டிகர் கோட் டெர் இன் Node.js இன்டக்ரிடெரென் மாட்யூல் ஜார்கன்கென் வெர்டன் கன். அனைத்து vm2-Versionen vor 3.11.8 betraffen, auf UNIX, Windows und sonstigen Betriebssystemen ஆகியவற்றில் BSI ஐ வைக்கவும்.

Sandbox-Ausbruch über மொத்தப் பிழை

Die schwerwiegendste Schwachstelle EUVD-2026-81604 / CVE-2026-92955 ஸ்டெக்ட் லாட் Enisa in NodeVM. Angreifer können dort über die internen Eigenschaften des Node.js-Konsolenobjekts “console._stdout” மற்றும் “console._stderr” auf Getter und Setter der Eigenschaft „protogri efvend Box. Düber lässt sich der Prototyp Eines Objekts lesen und ändern. Damit überschreiben sie “EventEmitter.prototype.emit”, eine Methode der Node.js-Klasse EventEmitter, at lösen Prozess-Ereignisse aus. டெர் கோட் டெர் ஆங்கிரிஃபர் லாஃப்ட் டேன் இம் கான்டெக்ஸ்ட் டெஸ் ப்ரோஸெஸ் அண்ட் உம்கெஹ்ட் டை பெஸ்ச்ரான்குங்கன் ஃபர் டை கோட்ஜெனெரியர்ங். Die Sicherheitslücke wurde mit vm2 3.11.8 geschlossen.

Der CVSS-Vektor weist einen Angriff über das Netzwerk mit geriger Komplexität aus. Es sind weder Anmeldung noch Nutzerinteraktion nötig, und die Effects auf Vertraulichkeit, Integrität und Verfüglichkeit sind hoch, auch in nachgelagerten Komponenten.

Unvollständige Bereinigung von Fehlerobjekten

Auch bei EUVD-2026-81584 / CVE-2026-92934 können Angreifer aus der Sandbox ausbrechen. Die Schwachstelle beruht auf einer unvollständigen Korrektur der Eigenschaft “Error.cause”, Die in einem JavaScript-Fehlerobjekt auf den ursprungslingen Fehler verweist. Der Fehler tritt auf, wenn zyklische, vom Host umschlossene “AggregateError” -Objekte während eines einzelsen Durchlaufs des Exception-Handlers abgefangen werden. Angreifer können dabei die Zykluserkennung in “handleException” umgehen und auf unbereinigte Host-Proxies im “errors” -Array greifen. Das ermöglicht die Complete Ausführung von Code aus der Ferne sowie das Auslesen von Prozessinformationen aus der Sandbox. சிக்கலில் உள்ள 3.11.8 பதிப்பு.

தட்டச்சு செய்யப்பட்ட அணிகளின் வெராண்டர்பேர் முன்மாதிரி

Ebenfalls kritisch ist die Schwachstelle EUVD-2026-81602 / CVE-2026-92953, டை டை ப்ரோட்டோடைபன் வான் டைப் செய்யப்பட்ட வரிசைகள் பிஃப்ரீட். Das sind JavaScript-Objekte für binäre Daten, ein Prototyp ist eine Vorlage, die festlegt, welche Eigenschaften und Methoden alle Objekte einer Klasse erben. vm2 schutz பதிப்பு 3.11.0 மற்றும் 3.11.8 இல் Host-Prototypen “Uint8Array.prototype”, “%TypedArray%.prototype” மற்றும் “ArrayBuffer.prototype” nicht vor Änderungen aus der Sandbox. Angreifer erreichen die Prototypen über sogenannte Prototype-Walking-Techniken und können sie veränderen. டை ஃபோல்ஜ்: டைப் செய்யப்பட்ட வரிசைகள், டை டை அன்வென்டுங் செல்ப்ஸ்ட் ஜெராட், ஆஃப்ரெஹென் டை வோம் ஆங்ரீஃபர் கெசெட்ஸ்டென் ஈஜென்ஸ்காஃப்டன். தாஸ் கில்ட் ஆச் நோச், வென் டெர் சாண்ட்பாக்ஸ்-கோட் ஸ்கோன் ஃபெர்டிக் கெஹ்ருங்கன் வுர்டே. Diese Ausführung startet die Anwendung mit der Methode “VM.run()”.

Diese Sicherheitslücke befeits im Gegensatz zu den Anderen Schwachstellen nur vm2-Versionen von 3.11.0 bis vor 3.11.8.

வெயிட்டர் ஸ்வாச்ஸ்டெல்லன்

Auf dem Papier weniger schwerwiegend, aber dennoch wichtig, Sind die Drei weiteren vom BSI nanenten Schwachstellen.

• EUVD-2026-81608 / CVE-2026-92959: vm2 செட் டை கான்ஃபிகரேஷன்ஸ்ப்ஷன் “allowAsync: false” nicht wirtschaftlich durch. மிட் இஹ்ர் சொல்லென் பெட்ரீபர் அசின்க்ரோன் ஆஸ்ஃபுஹ்ருங் இன் டெர் சாண்ட்பாக்ஸ் வெர்பியெட்டன். சாண்ட்பாக்ஸில் உள்ள குறியீடு Sperre über die Methoden der Klasse “Promise”, மற்றும் “Promise.resolve” மற்றும் “Promise.all” உடன் இறக்கலாம். சாண்ட்பாக்ஸ்-கோட் மூலம் Aufgaben விமானம் வழியாக, “VM.run()” அல்லது “NodeVM.run()” laufen இன் எர்ஸ்ட் நாச் டெம் எண்டே. டீஸ் மெத்தோடன் டெர் சாண்ட்பாக்ஸில் டை ஆஸ்ஃபுஹ்ரங் தொடங்குகிறது. Die Anwendung hält die Ausführung zu diesem Seinkut für sichte. ஆன் டீசர் ஸ்டெல்லே கோன்டே டெர் வோம் பிஎஸ்ஐ ஜெனன்டே டோஸ்-ஜுஸ்ஸ்டாண்ட் ஈன் மோக்லிச் ஃபோல்ஜ் செயின். பதிப்பு 3.11.8 இல் உள்ள சிக்கல் சரி.

• EUVD-2026-81583 / CVE-2026-92933: NodeVM reicht das Node.js-Modul “util” unfilter sandbox Weiter. Auf Node.js ab பதிப்பு 22.9 liefert ஒரு enthaltene Funktion “util.getCallSites()” dem Sandbox-Code den Aufrufstapel des Host-Prozesses, absolute Dateipfade, Funktionsnamen und Zeni உட்பட. Hierdurch wird der Schutzmechanismus zur Ausblendung von Host-Frames umgangen, der im Rahmen der früheren Korrektur „GHSA-v27g-jcqj-v8rw” wurde und einlichkeit fiertkanal Formaty und einlichkeit fürtkanal.” Auch dieser Fehler ist ab பதிப்பு 3.11.8 gesolst.

• EUVD-2026-81586 / CVE-2026-92936: vm2 3.11.0 மற்றும் 3.11.6 இல், சாண்ட்பாக்ஸ்-கோடில் உள்ள Fehlerobjekten இன் Eigenschaft “.stack” இல் ஹோஸ்ட்களின் முழுமையான தேதி இறந்தது.

• தி ரீஃபர் லோசென் டாசு ஈனென் “சின்டாக்ஸ் எரர்” ஆஸ், எட்வா உபெர் டை ஃபங்க்ஷன் “எவல்” மிட் ஃபெஹ்லர்ஹாஃப்டெம் க்வெல்டெக்ஸ்ட், அட் லெசென் அட்என் “.ஸ்டாக்” ஆஸ். எனவே können Angreifer sensible Informationen offenlegen. Diese Sicherheitslücke wurde bereits in 3.11.7 behoben.

* Hinweis zum EPSS-ஸ்கோர்: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. காலப்போக்கில் தொடர்புடைய மதிப்பெண் மாறலாம். Sofern nicht Anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitung der Veröffentlichkeit des Artikels.

(ஐடி:50978407)