Vulnerabilidades do Npm Vm2

O vm2 é um vm/sandbox de código aberto para Node.js. Na versão 3.10.4, o vm2 é vulnerável a fuga completa do sandbox com execução arbitrária de código. Código do atacante dentro de VM.run() obtém o objeto de processo do host e executa comandos no host sem nenhuma cooperação do host. Este problema foi corrigido na versão 3.10.5.

vm2 é um sandbox/vm de código aberto para Node.js. Antes da versão 3.11.0, SuppressedError permite que atacantes escapem do sandbox e executem código arbitrário. Este problema foi corrigido na versão 3.11.0.

vm2 é uma máquina virtual/sandbox de código aberto para Node.js. Antes da versão 3.11.0, o VM2 sofre de uma vulnerabilidade de quebra de sandbox por meio da função inspect. Isso permite que atacantes escrevam código capaz de escapar da sandbox do VM2 e executar comandos arbitrários no sistema hospedeiro. Este problema foi corrigido na versão 3.11.0.

vm2 é um sandbox/máquina virtual de código aberto para Node.js. Antes da versão 3.10.5, a correção para o CVE-2023-37466 é insuficiente e pode ser contornada, permitindo que atacantes escrevam código capaz de escapar do sandbox VM2 e executar comandos arbitrários no sistema hospedeiro. Este problema foi corrigido na versão 3.10.5.

vm2 é um sandbox/VM de código aberto para Node.js. Antes da versão 3.11.0, o VM2 sofre de uma vulnerabilidade de quebra de sandbox. Isso permite que atacantes escrevam código que pode escapar do sandbox do VM2 e executar comandos arbitrários no sistema hospedeiro. Este problema foi corrigido na versão 3.11.0.

vm2 is an open source vm/sandbox for Node.js. In vm2 prior to version 3.10.2, `Promise.prototype.then` `Promise.prototype.catch` callback sanitization can be bypassed. This allows attackers to escape the sandbox and run arbitrary code. In lib/setup-sandbox.js, the callback function of `localPromise.prototype.then` is sanitized, but `globalPromise.prototype.then` is not sanitized. The return value of async functions is `globalPromise` object. Version 3.10.2 fixes the issue.

vm2 is an open source vm/sandbox for Node.js. In vm2 for versions up to and including 3.9.19, Node.js custom inspect function allows attackers to escape the sandbox and run arbitrary code. This may result in Remote Code Execution, assuming the attacker has arbitrary code execution primitive inside the context of vm2 sandbox. There are no patches and no known workarounds. Users are advised to find an alternative software.

vm2 is an advanced vm/sandbox for Node.js. The library contains critical security issues and should not be used for production. The maintenance of the project has been discontinued. In vm2 for versions up to 3.9.19, `Promise` handler sanitization can be bypassed with the `@@species` accessor property allowing attackers to escape the sandbox and run arbitrary code, potentially allowing remote code execution inside the context of vm2 sandbox. Version 3.10.0 contains a patch for the issue.