つみかさね

CVE-2026-24118

Critical(9.8)

CVE-2026-24118 — vm2 サンドボックスエスケープによる任意コマンド実行

公開日: 2026-05-09データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
vm2patriksimek< 3.11.0

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1vm2の利用状況を確認する
  2. 2修正バージョンへのアップデートを実施する
  3. 3根本的にはvm2からの移行を検討する

影響対象

vm2利用者（Node.js）

補足

  • -vm2は複数のサンドボックスエスケープ脆弱性が継続的に発見されています
CVEvm2Node.jsサンドボックスエスケープ

概要

Node.js 向けサンドボックスライブラリ vm2 のバージョン 3.11.0 未満に、サンドボックスエスケープの脆弱性が存在します。

vm2 はサンドボックス内で安全にコードを実行するためのライブラリですが、この脆弱性により保護機構が回避され、攻撃者がサンドボックスの外部に脱出できます。脱出に成功した攻撃者は、ホストシステム上で任意のコマンドを実行できるため、サーバーの完全な制御権を奪取される危険性があります。

CVSS スコアは 9.8（Critical）であり、ネットワーク経由でリモートから攻撃可能で、認証や特別な権限も不要です。vm2 を利用してユーザー入力のコードを実行しているアプリケーションは、直ちに対応が必要です。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
ベクトルCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWECWE-94 (コードインジェクション), CWE-693 (保護メカニズムの不備)

影響を受けるソフトウェア

製品ベンダー影響バージョン
vm2patriksimek< 3.11.0

修正バージョンと回避策

  • 修正バージョン: v3.11.0
  • 回避策: 修正バージョンへのアップデートが推奨されます。アップデートが困難な場合は、vm2 を経由したユーザー入力コードの実行を停止してください。根本的には、vm2 は複数のサンドボックスエスケープ脆弱性が繰り返し報告されているため、他の隔離手段（コンテナ、VM、isolated-vm 等）への移行を検討してください。

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-24120vm2 サンドボックスエスケープ修正不備による任意コマンド実行CVSS 9.8CVE-2026-24781vm2 inspect関数を経由したサンドボックスエスケープCVSS 9.8CVE-2026-26956vm2 完全サンドボックスエスケープによる任意コード実行CVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-24118
GHSA:https://github.com/patriksimek/vm2/security/advisories/GHSA-grj5-jjm8-h35p
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。