vm2 sandbox sérülékenysége
Angol cím: vm2 sandbox vulnerability
Publikálás dátuma: 2023.05.15.
Utolsó módosítás dátuma: 2023.05.16.
Leírás
Befecskendezés: A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják hogyan parszolja, vagy interpretálja a parancsot, vagy az adatstruktúrát amikor azt a következő komponensnek adja át.
Leírás forrása: CWE-74Elemzés leírás
Eredeti nyelven: vm2 is a sandbox that can run untrusted code with Node’s built-in modules. A sandbox escape vulnerability exists in vm2 for versions up to and including 3.9.17. It abuses an unexpected creation of a host object based on the specification of `Proxy`. As a result a threat actor can bypass the sandbox protections to gain remote code execution rights on the host running the sandbox. This vulnerability was patched in the release of version `3.9.18` of `vm2`. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Elemzés leírás forrása: CVE-2023-32314Hatás
CVSS3.1 Súlyosság és Metrika
Base score: 9.8 (Kritikus)
Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Impact Score: 5.9
Exploitability Score: 3.9
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C): High
Integrity Impact (I): High
Availability Impact (A): High
Következmények
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Hivatkozások
Sérülékeny szoftverek
vm2 3.9.18 előtti verziói
