🇰🇷 한글 설명
VM2는 Node.js용 오픈소스 VM/샌드박스이며, 3.11.0 버전 이전에서 inspect 함수를 통한 샌드박스 탈출 취약점이 존재합니다. 이를 악용하면 공격자가 VM2 샌드박스를 벗어나 호스트 시스템에서 임의의 명령을 실행할 수 있습니다. 3.11.0 버전에서 패치되었습니다.
💡 쉬운 설명
VM2는 JavaScript 코드를 안전하게 실행하는 도구인데, inspect 함수의 결함으로 악의적인 코드가 안전장치를 뚫고 컴퓨터 전체를 제어할 수 있습니다. Node.js 서버/애플리케이션이 신뢰할 수 없는 사용자 코드를 실행할 때 위험합니다.
🇺🇸 원문 (English)
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, VM2 suffers from a sandbox breakout vulnerability through the inspect function. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.0.
📍 영향받는 시스템
vm2 패키지 버전 3.11.0 미만 (Node.js 환경)
⚔️ 공격 벡터
inspect 함수를 악용하여 프로토타입 체인 접근 또는 내부 객체 조작을 통해 샌드박스 탈출
🔧 검증 코드
버전이 3.11.0 이상이면 안전하며, 그 미만이면 즉시 업그레이드가 필요합니다.
npm list vm2 2>/dev/null | grep -oP '(?<=vm2@)[0-9.]+'