🇰🇷 한글 설명
vm2는 Node.js용 샌드박스 라이브러리인데, 3.11.0 버전 이전에서 SuppressedError 예외 처리 메커니즘의 결함으로 인해 샌드박스를 탈출하여 임의의 코드를 실행할 수 있습니다. 이 취약점은 3.11.0 버전에서 패치되었습니다.
💡 쉬운 설명
vm2 라이브러리가 에러 처리에서 보안 구멍을 가지고 있어서, 공격자가 제한된 환경을 빠져나와 시스템의 다른 부분에 접근할 수 있습니다. 버전을 3.11.0 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, SuppressedError allows attackers to escape the sandbox and run arbitrary code. This issue has been patched in version 3.11.0.
📍 영향받는 시스템
vm2 < 3.11.0 (Node.js 패키지)
⚔️ 공격 벡터
SuppressedError 예외를 악용하여 샌드박스 탈출 후 임의의 Node.js 코드 실행
🛡️ 대응 방법
vm2를 3.11.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 3.11.0 이상이면 안전하고, 이하이면 취약합니다.
npm list vm2 2>/dev/null | grep vm2 | awk '{print $2}'