vm2 sandbox sérülékenysége
Angol cím: vm2 sandbox vulnerability
Publikálás dátuma: 2023.05.15.
Utolsó módosítás dátuma: 2023.05.16.
Leírás
Befecskendezés: A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják hogyan parszolja, vagy interpretálja a parancsot, vagy az adatstruktúrát amikor azt a következő komponensnek adja át.
Leírás forrása: CWE-74Elemzés leírás
Eredeti nyelven: vm2 is a sandbox that can run untrusted code with Node’s built-in modules. In versions 3.9.17 and lower of vm2 it was possible to get a read-write reference to the node `inspect` method and edit options for `console.log`. As a result a threat actor can edit options for the `console.log` command. This vulnerability was patched in the release of version `3.9.18` of `vm2`. Users are advised to upgrade. Users unable to upgrade may make the `inspect` method readonly with `vm.readonly(inspect)` after creating a vm.
Elemzés leírás forrása: CVE-2023-32313Hatás
CVSS3.1 Súlyosság és Metrika
Base score: 5.3 (Közepes)
Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Impact Score: 1.4
Exploitability Score: 3.9
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C): None
Integrity Impact (I): Low
Availability Impact (A): None
Következmények
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Hivatkozások
Sérülékeny szoftverek
vm2 3.9.18 előtti verziói
