VM2 JavaScript 沙箱库中存在严重的 RCE 漏洞

该 VM2 库旨在 Node.js 服务器的隔离上下文中运行不受信任的代码，它允许部分执行代码并阻止对系统资源或外部数据的越权访问。

VM2 在 NPM 包库中的每月下载量超过1600万次，用于IDE 和代码编辑器、FaaS 解决方案、渗透测试框架、安全工具和多种与 JavaScript 相关的产品。

CVE-2023-29017 的 CVSS 评分为满分10分，是由韩国科学技术院的研究团队发现的。

研究人员发现，当出现异步传输错误时，被传递给 “Error.prepareStackTrace” 函数的主机对象处理不当。利用该漏洞可导致沙箱防护措施被绕过，并获得对主机的远程代码执行权限。安全公告指出，“威胁行动者可绕过沙箱防护措施，在运行该沙箱的主机上获得远程代码执行权限。”

该漏洞影响 VM2 3.9.14 及更早版本。该漏洞已在新版本 3.9.15 中修复。

韩国科学技术院的博士生 Seongil Wi 在 VM2版本发布后，公布了 CVE-2023-29017 利用代码的两个变体。这些 PoC 在主机系统上创建了名为 “flag” 的新文件，证明 VM2 的沙箱防护措施可遭绕过，从而导致攻击者可执行命令，在主机系统上创建任意文件。

2022年10月，VM2 还受另一个严重漏洞 (CVE-2022-36067) 的影响。该漏洞可使攻击者逃逸沙箱环境并在主机系统上运行命令。该漏洞也通过发布新版本的方式迅速得以修复。