🇰🇷 한글 설명
vm2는 Node.js용 샌드박스로, 3.11.0 이전 버전에서 악의적인 코드가 Buffer.alloc()을 임의 크기로 호출하여 호스트 힙에 메모리를 할당할 수 있습니다. vm2의 타임아웃 옵션이 C++ 네이티브 호출을 중단할 수 없어서, 단일 요청으로 호스트 메모리를 소진하고 프로세스를 크래시시킬 수 있습니다.
💡 쉬운 설명
vm2 라이브러리의 샌드박스에서 실행되는 악의적인 코드가 과도한 메모리를 할당하여 서버를 다운시킬 수 있습니다. 3.11.0 이상으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, sandboxed code can call Buffer.alloc() with an arbitrary size to allocate memory directly on the host heap. Because Buffer.alloc is a synchronous C++ native call, vm2's timeout option cannot interrupt it. A single request can exhaust host memory and crash the process with a FATAL ERROR: Reached heap limit. This vulnerability is fixed in 3.11.0.
⚔️ 공격 벡터
샌드박스 내에서 Buffer.alloc(large_size)를 호출하여 호스트 메모리 소진으로 서비스 거부 발생
🛡️ 대응 방법
vm2를 3.11.0 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 3.11.0 이상이면 안전하고, 이하이면 업그레이드 필요
npm list vm2 2>/dev/null | grep -E 'vm2@' | awk -F'@' '{print $2}'