🇰🇷 한글 설명
vm2는 Node.js용 샌드박스 가상머신이며, 버전 3.10.4에서 완전한 sandbox escape 취약점이 존재합니다. 공격자는 VM.run() 내부의 코드를 통해 호스트 프로세스 객체에 접근하여 권한 없이 호스트 명령을 직접 실행할 수 있습니다. 버전 3.10.5에서 패치되었습니다.
💡 쉬운 설명
vm2는 Node.js에서 위험한 코드를 안전하게 실행하는 도구인데, 버전 3.10.4에서 악의적 코드가 제한을 완전히 우회하여 컴퓨터 전체를 제어할 수 있습니다. 즉시 버전 3.10.5 이상으로 업데이트해야 합니다.
🇺🇸 원문 (English)
vm2 is an open source vm/sandbox for Node.js. In version 3.10.4, vm2 is vulnerable to full sandbox escape with arbitrary code execution. Attacker code inside VM.run() obtains host process object and runs host commands with zero host cooperation. This issue has been patched in version 3.10.5.
📍 영향받는 시스템
vm2 버전 3.10.4 이하
⚔️ 공격 벡터
공격자가 VM.run()에 악성 코드를 전달하여 sandbox escape를 통해 호스트 프로세스 객체 접근 및 임의 명령 실행
🛡️ 대응 방법
npm update vm2 또는 package.json에서 vm2를 3.10.5 이상으로 지정하고 재설치
🔧 검증 코드
출력된 버전이 3.10.5 이상이면 안전하고, 3.10.4 이하이면 즉시 업데이트 필요합니다.
npm list vm2 2>/dev/null | grep -E 'vm2@'