CVE-2026-92939 in vm2
Zusammenfassung
von VulDB • 17.09.2026
vm2 ab Version 3.11.3 bis 3.11.6 gibt das Host-Node.js-Crypto-Modul an eine NodeVM-Sandbox weiter, wenn die Crypto-Builtin (integrierte Funktion) erlaubt ist. Das Modul wird über einen rekursiven schreibgeschützten Proxy bereitgestellt, aber seine aufrufbaren Exporte werden weiterhin mit den Berechtigungen des Host-Prozesses ausgeführt. Sandboxeder JavaScript-Code kann daher crypto.setEngine() mit einem Dateisystempfad zu einer vom Angreifer bereitgestellten nativen Bibliothek (beispielsweise einer in einem bereits auf der Festplatte gespeicherten, nicht vertrauenswürdigen Plugin-Paket gebündelten Bibliothek) aufrufen. OpenSSL bittet den dynamischen Lader des Betriebssystems, die Datei zu laden, und der Konstruktor der Bibliothek führt nativen Code im Host-Prozess aus, bevor die Validierung der Engine-Symbole dies ablehnt. Für die Ausnutzung (Exploitation) ist lediglich das Crypto-Builtin erforderlich; es wird kein Zugriff auf fs, process, module, child_process, worker_threads, vm oder inspector benötigt, was zu einer Sandbox-Escape und zur beliebigen Ausführung von nativem Code führt. Behoben in Version 3.11.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.