🇰🇷 한글 설명
vm2 3.11.0부터 3.11.6 버전에서 에러 스택 포맷팅을 통해 샌드박스 내부 코드가 호스트 파일 시스템의 절대 경로를 유출할 수 있는 취약점이 발견되었습니다. 공격자가 의도적으로 SyntaxError를 유발하여 .stack 속성을 읽으면, 기존의 경로 마스킹 조치를 우회하여 호스트의 경로 및 내부 구조를 파악할 수 있습니다.
💡 쉬운 설명
샌드박스라는 격리된 공간에서 실행되는 코드가 실수로 발생한 에러 메시지를 통해 컴퓨터 내부의 실제 파일 경로를 훔쳐볼 수 있는 문제입니다. 이는 직접적인 해킹으로 이어지지는 않지만, 공격자가 시스템 구조를 파악하는 데 중요한 정보를 제공합니다.
🇺🇸 원문 (English)
vm2 versions 3.11.0 through 3.11.6 leak absolute host filesystem paths to sandboxed code through error stack formatting. Attacker-supplied code can force the host-realm source transformer to throw a SyntaxError (for example by calling eval with malformed source) and then read the error's .stack property; the bridge forwards the .stack read to the host-realm formatter, bypassing the sandbox-side host-path redaction introduced for GHSA-v27g-jcqj-v8rw. The returned stack string discloses absolute paths from vm2, Node.js internals, and the embedding application's own source tree, along with host function names. Default new VM() and new NodeVM() configurations are affected without any special options, and the issue persists when string eval is disabled because the host-side transformer throws before eval is handled. The impact is information disclosure only; no code execution results. Fixed in vm2 3.11.7.
📍 영향받는 시스템
vm2 versions 3.11.0 through 3.11.6
⚔️ 공격 벡터
잘못된 소스 코드를 eval로 실행하여 SyntaxError를 유발한 뒤 에러의 .stack 속성을 읽어 경로 정보 탈취
🛡️ 대응 방법
vm2 버전을 3.11.7 이상으로 업데이트
🔧 검증 코드
출력된 결과의 버전이 3.11.7 미만(3.11.0~3.11.6)이면 취약한 상태입니다.