🇰🇷 한글 설명
vm2는 Node.js용 오픈소스 VM/샌드박스이며, 3.10.5 이전 버전에서 CVE-2023-37466의 패치가 불충분하여 공격자가 VM2 샌드박스를 탈출하고 호스트 시스템에서 임의의 명령어를 실행할 수 있습니다. 3.10.5 버전에서 패치되었습니다.
💡 쉬운 설명
vm2는 JavaScript 코드를 안전하게 실행하는 보호 프로그램인데 이 보호가 충분하지 않아서 악의적인 코드가 보호를 벗어날 수 있습니다. 컴퓨터 전체 권한으로 명령어를 실행할 수 있게 되는 심각한 문제입니다.
🇺🇸 원문 (English)
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.10.5, the fix for CVE-2023-37466 is insufficient and can be circumvented allowing attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.10.5.
📍 영향받는 시스템
vm2 버전 3.10.4 이하 (Node.js 프로젝트에서 vm2 패키지 사용)
⚔️ 공격 벡터
악의적인 JavaScript 코드를 vm2 인스턴스에 주입하여 샌드박스 탈출 및 호스트 명령어 실행
🛡️ 대응 방법
npm update vm2를 실행하여 3.10.5 이상 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 3.10.5 이상이면 안전, 3.10.4 이하이면 즉시 업그레이드 필요
npm list vm2 2>/dev/null | grep vm2 | awk '{print $2}'