Mobile-Menu

DoS und Code-Ausführung Drei Sandbox-Escape-Schwachstellen in vm2

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH
FAST LTA GmbH
Arvato Systems GmbH

Die Open Source vm2 Sandbox für Node.js hat drei kritische Schwachstellen. Angreifer können die Sandbox durchbrechen und beliebigen Code aus­füh­ren. Dadurch kann es zur Kompromittierung des Host-Systems kommen.

Angreifern können aus der mv2-Sandbox ausbrechen und das Host-System durch beliebige Codeausführung vollständig kompromittieren oder einen Denial of Service verursachen.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Angreifern können aus der mv2-Sandbox ausbrechen und das Host-System durch beliebige Codeausführung vollständig kompromittieren oder einen Denial of Service verursachen.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Das Open Source Projekt vm2 hat eine neue Version, 3.11.6, veröffentlicht, in der drei schwer­wie­gen­de Schwachstellen behoben werden. Diese ermöglichen es Angreifern, die Sandbox zu durchbrechen und beliebigen Code auf dem Host-System auszuführen. vm2 ist eine beliebte Sandbox-Implementierung für Node.js, die es Entwicklern ermöglicht, nicht ver­trau­ens­wür­di­gen Code in einer isolierten Umgebung auszuführen. Bei den Sicherheitslücken, die alle Versionen vor 3.11.6 betreffen, handelt es sich um:

  • EUVD-2026-60460 / CVE-2026-47686 (CVSS-Score 9.9, EPSS-Score* noch nicht vergeben)
  • EUVD-2026-60459 / CVE-2026-47698 (CVSS-Score 9.8, EPSS-Score noch nicht vergeben)
  • EUVD-2026-60461 / CVE-2026-47683 (CVSS-Score 8.7, EPSS-Score noch nicht vergeben)

Sandbox Escape durch fehlende Error.cause-Bereinigung

Die erste Schwachstelle, EUVD-2026-60460 / CVE-2026-47686 betrifft die „handleException()“-Funktion in der internen Datei „lib/setup-sandbox.js“. Sie bereinigt zwar die Error-Typen „SuppressedError.error“, „SuppressedError.suppressed“ und „AggregateError.errors“, aber nicht „Error.cause“. Dies ermöglicht es einem Angreifer Sandbox-Code, über eine vom Einbetter bereitgestellte Host-Funktion, die einen Fehler mit einem mächtigen Host-Objekt, wie etwa „process“, als Ursache auslöst, Zugriff auf dieses Objekt zu erlangen und anschließend beliebige Host-Befehle auszuführen.

Prototype Chain Traversal

EUVD-2026-60459 / CVE-2026-47698 betrifft ebenfalls „lib/bridge.js“ sowie „lib/setup-sandbox.js“. Diese Sandbox-Implementierungen blockieren nicht, dass Angreifer über Umwege auf geschützte Host-Eigenschaften, sogenannte Getter und Setter, zugreifen können. Ein Angreifer, der die Sicherheitslücke erfolgreich ausnutzt, kann damit die Prototype-Kette durchtrennen und auf „e.constructor.constructor“ zugreifen. Dies ermöglicht beliebige Codeausführung auf dem Host-System.

Denial of Service

In Versionen vor 3.11.6 kontrolliert vm2 aufgrund der Schwachstelle EUVD-2026-60461 / CVE-2026-47683 nicht, wie groß Puffer sein dürfen, wenn Angreifer die Funktionen „Buffer.concat()“ und „Buffer.from()“ mit großen Größenangaben aufrufen. Somit kann ein Akteur diese Funk­ti­o­nen mit extrem großen Längenparametern aufrufen und damit große synchrone Speicher­zu­wei­sun­gen durchzuführen, die das konfigurierte Limit umgehen. Dies ermöglicht es, den Host-Prozess durch Speichererschöpfung zum Absturz zu bringen.

vm2 wird auf Linux, Unix und Windows unterstützt, alle Versionen vor 3.11.6 sind anfällig für diese Sicherheitslücken. Mit 3.11.6 wurden die sie geschlossen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50930710)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte