🔴 CVE-2026-47210: Critical Schwachstelle

„`html

Zusammenfassung

Eine kritische Sandbox-Escape-Anfälligkeit wurde in vm2 vor Version 3.11.4 identifiziert. Die Sicherheitslücke CVE-2026-47210 ermöglicht es Angreifern, beliebigen Code im Host-Prozess auszuführen, wenn nicht vertrauenswürdiger Code mit Async-Unterstützung auf Runtimes mit WebAssembly JSPI (JavaScript Promise Integration) ausgeführt wird. Der CVSS-Wert von 9.8 zeigt ein kritisches Risiko an.

Betroffene Systeme

Die Anfälligkeit betrifft folgende Komponenten:

• vm2 Versionen vor 3.11.4
• Node.js Runtimes mit aktiviertem WebAssembly JSPI
• Systeme, die vm2 für Code-Sandboxing verwenden
• Anwendungen, die WebAssembly.promising oder WebAssembly.Suspending nutzen

Technische Details

Die Schwachstelle liegt in der unzureichenden Isolation von Promise-Objekten bei Verwendung von JSPI-Promises. Der Exploit nutzt folgende Mechanik:

• JSPI-Promises können Promise.prototype.finally() auf Weise erreichen, die die Promise-Species-Härtung umgeht
• Ein Host-ursprüngliches Rejection-Objekt wird dem attacker-kontrollierten Species-Logic exponiert
• Diese Exposition bricht die Sandbox-Grenze und ermöglicht Code-Ausführung im Host-Prozess

Der Angriff funktioniert speziell in Konfigurationen mit aktivierter Async-Unterstützung und WebAssembly JSPI-Support.

Empfohlene Massnahmen

• Priorität: Sofortiges Update auf vm2 Version 3.11.4 oder aktueller durchführen
• WebAssembly JSPI deaktivieren, falls nicht zwingend erforderlich
• Async-Unterstützung in vm2-Konfigurationen überprüfen und einschränken
• Nicht vertrauenswürdigen Code nur nach dem Update in der Sandbox ausführen
• Systemüberwachung auf verdächtige Promise-Manipulationen implementieren
• Abhängigkeiten regelmäßig auf Updates prüfen

Bewertung

Mit einem CVSS-Score von 9.8 gilt diese Anfälligkeit als kritisch. Das Angriffsvektor-Netzwerk mit niedriger Komplexität macht sie praktisch ausnutzbar. Für alle Systeme mit vm2 ist ein unmittelbares Update obligatorisch.

„`