「SandboxJS」にサンドボックス回避のクリティカル脆弱性などが判明

JavaScriptのサンドボックス環境を提供するライブラリ「SandboxJS」に複数の脆弱性が明らかとなった。脆弱性を解消したアップデートが提供されている。

「同0.8.35」および以前のバージョンに3件の脆弱性「CVE-2026-34208」「CVE-2026-34211」「CVE-2026-34217」が明らかとなったもの。

「CVE-2026-34208」は、ホストにおけるグローバルオブジェクトの保護を回避し、書き換えることが可能となる脆弱性。同一プロセス内で立ち上げられたあたらしいサンドボックスのインスタンスにおいても変更内容が引き継がれるという。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを最高値となる「10.0」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

あわせて深く入れ子状態となった式を処理させることでスタックベースのバッファオーバーフローが発生し、サービス拒否に陥る「CVE-2026-34211」や、「new演算子」において内部オブジェクトが漏洩する「CVE-2026-34217」など、重要度が「中（Moderate）」とされる2件の脆弱性も確認された。CVSS基本値はともに「6.9」と評価されている。

開発チームでは、「同0.8.36」にてこれら脆弱性を解消した。概念実証など脆弱性の詳細についても公開されている。

（Security NEXT - 2026/04/07 ）ツイート

「SandboxJS」にサンドボックス回避のクリティカル脆弱性などが判明

関連リンク

PR

関連記事