CVE-2026-92939
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- —
- CWE
- CWE-114
- KEV Durumu
- Hayır
Yayım tarihi: 17 Eylül 2026
vm2 3.11.3 ile 3.11.6 arasındaki sürümler, crypto yerleşik işlevi izin verildiğinde, bir NodeVM kumandasına konak Node.js crypto modülünü açığa çıkarır. Modül, bir recursive salt-okunur proxy aracılığıyla sunulur, ancak çağrılabilir dışa aktarımları hala konak-süreç yetkisiyle çalışır. Kumanda edilmiş JavaScript, bu nedenle crypto.setEngine() işlevini, bir dosya sistemi yoluna sahip bir saldırgan tarafından sağlanan yerel bir kütüphaneyle (örneğin, zaten diske yazılmış bir güvenilmeyen eklenti paketi içinde bulunan bir kütüphane) çağırabilir; OpenSSL, işletim sistemi dinamik yükleyiciden dosyayı yüklemesini ister ve kütüphanenin yapıcısı, motor-simge doğrulaması reddetmeden önce konak işlemde yerel kodu çalıştırır. İstismar, yalnızca crypto yerleşik işlevini gerektirir ve fs, process, module, child_process, worker_threads, vm veya inspector erişimi gerektirmez, bu da bir kumanda kaçışına ve keyfi yerel kod çalıştırmasına neden olur. 3.11.7 sürümünde düzeltildi.
Orijinal açıklama (İngilizce)
vm2 3.11.3 through 3.11.6 exposes the host Node.js crypto module to a NodeVM sandbox when the crypto builtin is allowed. The module is presented via a recursive read-only proxy, but its callable exports still execute with host-process authority. Sandboxed JavaScript can therefore call crypto.setEngine() with a filesystem path to an attacker-supplied native library (for example, one bundled in an untrusted plugin package already written to disk); OpenSSL asks the operating-system dynamic loader to load the file, and the library's constructor executes native code in the host process before engine-symbol validation rejects it. Exploitation requires only the crypto builtin and does not require fs, process, module, child_process, worker_threads, vm, or inspector access, resulting in a sandbox escape and arbitrary native code execution. Fixed in 3.11.7.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.