🇰🇷 한글 설명
vm2 3.11.6 미만 버전에서 builtin: ['*'] 설정 시 os 및 dns 내장 함수에 대한 접근 제한이 실패하는 취약점이 존재합니다. 공격자는 이를 통해 호스트 프로세스의 신원과 네트워크 토폴로지를 읽을 수 있으며, dns.setServers()를 호출하여 호스트의 DNS 리졸버를 탈취하고 모든 DNS 쿼리를 공격자 제어 서버로 리다이렉션할 수 있습니다.
💡 쉬운 설명
샌드박스라는 격리된 환경에서 실행되는 코드가 실제 컴퓨터의 네트워크 설정에 접근할 수 있는 보안 결함입니다. 이를 통해 해커는 사용자의 인터넷 접속 경로를 가로채고 가짜 사이트로 유도할 수 있습니다.
🇺🇸 원문 (English)
vm2 before 3.11.6 fails to restrict access to os and dns builtins under the builtin: ['*'] configuration, allowing sandbox code to read host process identity and network topology. Attackers can invoke dns.setServers() to hijack the host process DNS resolver globally, redirecting all subsequent host DNS queries through an attacker-controlled resolver.
📍 영향받는 시스템
vm2 version < 3.11.6
⚔️ 공격 벡터
샌드박스 내에서 dns.setServers() 함수를 호출하여 호스트의 DNS 설정을 변경하는 방식
🛡️ 대응 방법
vm2 버전을 3.11.6 이상으로 업데이트하거나 builtin 설정을 엄격하게 제한하십시오.
🔧 검증 코드
출력된 버전 번호가 3.11.6 미만이면 취약한 상태입니다.
npm list vm2 | grep -E 'vm2@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access