CVE-2026-92937 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 3.11.6 は、ホストの Node.js プロセスにおけるリモートコード実行（RCE）につながるサンドボックスエスケープの脆弱性に影響されます。GHSA-m283-3h24-438v の修正は不完全です：lib/bridge.js:1624 におけるブリッジゲートのアイデンティティチェックは、拒否されたホスト Promise の値を再構築またはサニタイズするかどうかを判断する際に、直接呼び出されるターゲットのみをチェックします。Function.prototype.call や .apply を介した間接的な方法で拒否ハンドラを登録する場合（例：p.then.call(p, undefined, cb)）、インターセプトされたターゲットはホストの Function.prototype.call になるため、サニタイザーが実行されず、独自のプロパティを保持した生のホストエラーがサンドボックスコードに到達します。エンベッダーがホストレalm の Promise をサンドボックスに公開している場合（サンドボックスオプション経由でブリッジされた非同期ホスト関数、または NodeVM 外部モジュールの非同期メソッド）、その Promise がホストオブジェクトを参照するプリミティブ以外の_own_プロパティを持つ Error で拒否されると、サンドボックス内の信頼できないコードは当該ホストオブジェクトへの完全に機能するプロキシを取得し、ホストプロセスの特権で任意のコマンドを実行できます（例：e.detail.mainModule.require('child_process').execSync(...)）。直接の p.then(undefined, cb)、bind、および Reflect.apply の形式は正しくサニタイズされます。vm2 3.11.7 で修正済みです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.