🔴 CVE-2026-47208: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-47208 ist eine kritische Sandbox-Breakout-Schwachstelle in VM2, einer weit verbreiteten Open-Source-Virtualisierungslösung für Node.js-Umgebungen. Die Lücke ermöglicht es Angreifern, den VM2-Sandbox-Mechanismus zu umgehen und beliebigen Code auf dem Host-System auszuführen. Mit einem CVSS-Score von 10.0 handelt es sich um eine maximale Kritikalität. Die Schwachstelle wurde in Version 3.11.4 behoben.

Betroffene Systeme

Betroffen sind alle Installationen von VM2 vor Version 3.11.4. Die Schwachstelle betrifft insbesondere:

• Node.js-Anwendungen, die VM2 als Sandbox-Umgebung nutzen
• Infrastrukturen, die untrusted Code isoliert ausführen
• Multi-Tenant-Umgebungen mit Code-Isolation-Anforderungen

Technische Details

Die Vulnerabilität liegt in den Sandbox-Boundaries von VM2. Durch geschickt konstruierten JavaScript-Code können Angreifer die Isolation durchbrechen und Zugriff auf globale Node.js-Objekte erlangen. Dies ermöglicht die Execution von System-Commands über verfügbare APIs wie require() oder Child-Process-Funktionen.

Der Angriffsvektor ist netzwerkbasiert, wenn die betroffene Anwendung externe Code-Eingaben akzeptiert und diese über VM2 ausführt. Dies ist besonders kritisch bei Code-Sharing-Plattformen, Cloud-IDEs oder Automation-Systemen.

Empfohlene Massnahmen

Sofortige Massnahmen:

• Upgrade auf VM2 Version 3.11.4 oder höher durchführen
• npm/yarn Update: npm update vm2
• Abhängigkeiten in package-lock.json überprüfen und aktualisieren

Mitigation für nicht sofort patchbare Systeme:

• VM2-Verwendung einschränken oder deaktivieren
• Network-Segmentierung implementieren
• Eingabevalidierung verstärken

Bewertung

Diese Schwachstelle erfordert höchste Priorität bei der Patch-Management. Der CVSS 10.0 spiegelt das maximale Risiko wider: vollständige Sandbox-Kompromittierung mit Remote-Execution-Möglichkeit ohne Authentifizierung. Unverzügliches Handeln ist erforderlich.

„`