🇰🇷 한글 설명
Node.js용 오픈 소스 샌드박스인 vm2의 3.9.19 이하 버전에서 발생하는 취약점입니다. Node.js의 custom inspect 함수를 악용하여 샌드박스를 탈출하고 임의의 코드를 실행할 수 있는 원격 코드 실행(RCE) 위험이 있습니다.
💡 쉬운 설명
안전하게 격리되어 있어야 할 프로그램 실행 환경(샌드박스)을 뚫고 나와 컴퓨터를 마음대로 조종할 수 있는 보안 구멍입니다. 공격자가 이 구멍을 통해 해킹 명령을 내리면 시스템 전체가 위험해질 수 있습니다.
🇺🇸 원문 (English)
vm2 is an open source vm/sandbox for Node.js. In vm2 for versions up to and including 3.9.19, Node.js custom inspect function allows attackers to escape the sandbox and run arbitrary code. This may result in Remote Code Execution, assuming the attacker has arbitrary code execution primitive inside the context of vm2 sandbox. There are no patches and no known workarounds. Users are advised to find an alternative software.
📍 영향받는 시스템
vm2 versions up to and including 3.9.19
⚔️ 공격 벡터
샌드박스 내부에서 Node.js의 custom inspect 함수를 이용한 샌드박스 탈출 및 임의 코드 실행
🛡️ 대응 방법
해당 라이브러리에 패치가 없으므로 vm2를 사용하지 말고 다른 대체 소프트웨어로 교체해야 합니다.
🔧 검증 코드
출력된 결과에서 vm2의 버전을 확인하여 3.9.19 이하인지 체크합니다.