CVE-2026-44004 in vm2
要約
〜によって VulDB • 2026年05月14日
vm2はNode.js用のオープンソースのVM/サンドボックスです。バージョン3.11.0より前では、サンドボックス内のコードが任意のサイズでBuffer.alloc()を呼び出し、ホストヒープ上に直接メモリを割り当てることができました。Buffer.allocは同期型のC++ネイティブ呼び出しであるため、vm2のタイムアウトオプションではこれを中断できません。1つのリクエストでホストメモリが枯渇し、プロセスが「FATAL ERROR: Reached heap limit」という致命的なエラーでクラッシュする可能性があります。この脆弱性はバージョン3.11.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.