概要
Node.js 向けサンドボックスライブラリ vm2 のバージョン 3.10.4 に、完全なサンドボックスエスケープの脆弱性が存在します。
この脆弱性は他の vm2 のサンドボックスエスケープと比較しても深刻度が高く、VM.run() 内で実行される攻撃者のコードがホストプロセスのオブジェクトを直接取得できます。これにより、ホスト側の協力なしに（つまりホスト側の API を悪用するのではなく）、ホストシステム上で任意のコマンドを実行できます。
CVSS スコアは 9.8（Critical）であり、攻撃はネットワーク経由でリモートから可能で、認証や特権は不要です。サンドボックスの保護機構が完全に無効化されるため、vm2 を利用してユーザー提供コードを実行しているすべてのアプリケーションが影響を受けます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 |
| 深刻度 | Critical |
| ベクトル | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-94 (コードインジェクション), CWE-693 (保護メカニズムの不備) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| vm2 | patriksimek | < 3.10.5 |
修正バージョンと回避策
- 修正バージョン: v3.10.5
- 回避策: 修正バージョンへの即座のアップデートが推奨されます。この脆弱性はホスト側の協力なしに完全なサンドボックスエスケープが可能であるため、アップデートが完了するまでは vm2 を使用したコード実行を完全に停止してください。長期的には、vm2 からコンテナベースの隔離や isolated-vm 等のより安全な代替手段への移行を強く推奨します。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。