🇰🇷 한글 설명
Node.js용 고급 샌드박스 라이브러리인 vm2의 3.9.19 이하 버전에서 발생하는 심각한 보안 취약점입니다. 공격자가 @@species 접근자 속성을 사용하여 Promise 핸들러의 검증을 우회함으로써 샌드박스를 탈출하고 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
안전하게 코드를 실행해주는 격리 공간(샌드박스)의 보안 벽을 뚫고 들어가는 취약점입니다. 해커가 이 벽을 넘으면 사용자의 컴퓨터에서 마음대로 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
vm2 is an advanced vm/sandbox for Node.js. The library contains critical security issues and should not be used for production. The maintenance of the project has been discontinued. In vm2 for versions up to 3.9.19, `Promise` handler sanitization can be bypassed with the `@@species` accessor property allowing attackers to escape the sandbox and run arbitrary code, potentially allowing remote code execution inside the context of vm2 sandbox. Version 3.10.0 contains a patch for the issue.
📍 영향받는 시스템
vm2 library versions up to 3.9.19
⚔️ 공격 벡터
@@species 접근자 속성을 이용한 Promise 핸들러 검증 우회 및 샌드박스 탈출
🛡️ 대응 방법
vm2 라이브러리를 3.10.0 이상의 버전으로 업데이트하거나, 유지보수가 중단되었으므로 다른 안전한 라이브러리로 교체하십시오.
🔧 검증 코드
출력된 결과에서 vm2의 버전이 3.9.19 이하인지 확인하십시오.