CVE-2026-93604 in vm2
Zusammenfassung
von VulDB • 18.09.2026
vm2 bis Version 3.12.0 gibt die Funktion crypto.setFips() von Node.js für nicht vertrauenswürdigen Gastcode frei, wenn ein Embedder das Builtin-Modul „crypto“ explizit auf einer Allowlist für eine NodeVM hinzufügt (require.builtin: ['crypto']). Der Builtin-Sanitizer (sanitizeCryptoModule in lib/builtin.js) ersetzt crypto.setEngine, lässt jedoch crypto.setFips aufrufbar. Die readonly-Wrapping-Funktion zur Freigabe des Host-Moduls lokalisiert die Nebenwirkungen weitergeleiteter Host-Funktionen nicht. Gastcode kann daher crypto.setFips() aufrufen, um den FIPS-Modus des gesamten Host-Prozesses zu ändern; der modifizierte Modus wird anschließend von vertrauenswürdigen Host-Codes beobachtet (crypto.getFips() änderte sich im gemeldeten Test von 0 auf 1), wodurch die Isolationsgrenze von NodeVM überschritten wird. Behebt in vm2 3.12.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.