サンドボックス「vm2」に深刻な脆弱性 - アップデートがリリース

サンドボックス環境を提供するNode.jsライブラリ「vm2」に深刻な脆弱性が明らかとなった。実証コードも公開されている。

非同期のエラー処理に問題があり、サウンドボックスを回避してリモートよりホスト上でコードの実行が可能となる脆弱性「CVE-2023-29017」が明らかとなったもの。韓国科学技術院（KAIST）の研究者が発見、報告した。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価、重要度を「クリティカル（Critical）」とした。実証コード（PoC）も公開されている。

開発者は、脆弱性に対処した「同3.9.15」をリリース。脆弱性の回避策などはなく、アップデートが呼びかけられている。

（Security NEXT - 2023/04/10 ） ツイート

PR

関連記事

番組編集ネットワークにランサム攻撃 - ケーブルテレビ可児
NECのHAクラスタソフト「CLUSTERPRO X」に深刻な脆弱性
Apple、脆弱性を修正した「iOS 18.7.2」「iPadOS 18.7.2」を公開
「Django」にSQLiやDoS脆弱性 - 修正版をリリース
「Dell Data Lakehouse」が脆弱性145件を修正 - 深刻な脆弱性も
マルウェア対策製品「Avast」「AVG」に深刻な脆弱性
DB管理ツール「pgAdmin4」に複数脆弱性 - 重要度「クリティカル」も
Adobeが定例アップデート - 8製品29件の脆弱性を修正
「Symfony」に脆弱性 - アクセス制御ルールが回避されるおそれ
ベクトルDB「Milvus」に深刻な脆弱性 - クラスタ乗っ取りのおそれも