„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-47140 betrifft die Open-Source-VM2-Bibliothek für Node.js und wird mit dem kritischen CVSS-Score von 10.0 bewertet. Die Schwachstelle ermöglicht es Angreifern, Sandbox-Beschränkungen zu umgehen und beliebigen Code im Host-Prozess auszuführen. Das Risiko ist erheblich, da VM2 zur Isolierung und Ausführung nicht vertrauenswürdigen JavaScript-Codes verwendet wird.
Betroffene Systeme
Betroffen sind alle VM2-Versionen vor 3.11.4. Die Bibliothek wird in verschiedenen Node.js-Umgebungen eingesetzt, insbesondere in Anwendungen, die Sandboxing-Funktionen für Plugin-Systeme, Code-Sandbox-Dienste oder Multi-Tenant-Szenarien benötigen. Das Risiko besteht für alle Systeme, die VM2 zur Sandbox-Implementierung nutzen.
Technische Details
NodeVM implementiert eine Denylist mit Beschränkungen fĂĽr gefährliche Node.js-Builtins wie module, worker_threads, cluster, vm, repl und inspector. Jedoch wurden die kritischen Builtins „process“ und „inspector/promises“ nicht in die Sperrliste aufgenommen. Ăśber diese LĂĽcke können Angreifer aus sandboxed Code auf Host-Prozess-Primitiven zugreifen.
Der Exploit ermöglicht es, die Sandbox vollständig zu kompromittieren, indem die process-API verwendet wird, um beliebigen Code im Host-Kontext auszuführen. Dies führt zu einer kompletten Umgehung der Sandbox-Isolation.
Empfohlene Massnahmen
SofortmaĂźnahmen: Ein Patch fĂĽr VM2 ist verfĂĽgbar. Aktualisieren Sie unmittelbar auf Version 3.11.4 oder eine neuere Version. Dies ist eine kritische und zeitlich dringende Aktualisierung.
Temporäre Maßnahmen: Falls ein Update nicht sofort möglich ist, sollten Sie die Ausführung nicht vertrauenswürdigen Codes einschränken und zusätzliche Isolation auf Betriebssystem-Ebene implementieren.
Bewertung
Mit einem CVSS-Score von 10.0 handelt es sich um eine der kritischsten Schwachstellen. Die Kombinationen aus einfacher Ausnutzbarkeit, hohem Zugriff und voller Systemkompromittierung rechtfertigen sofortige Reaktion. Organisationen sollten diese Aktualisierung mit höchster Priorität durchführen.
„`