CVE-2026-92940 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 のバージョン 3.11.3 から 3.11.6 では、NodeVM が require('https') を許可するように明示的に構成されている場合、ホストプロセスの実際の https.globalAgent がサンドボックス化されたコードに露出します。ビルトインローダーはホストモジュールを読み取り専用プロキシでラップしますが、Agent.prototype.on() などのメソッド呼び出しは基となるホストオブジェクトへ転送されるため、サンドボックス内のコードはエージェントの 'free' イベントに対してリスナーを登録できます。関連のないホスト HTTPS リクエストがプーリングされた接続を解放すると、そのリスナーは生きているホストのリクエストオプションとホストの TLSSocket を受け取り、これによりサンドボックス化されたコードはホストの Authorization ヘッダーや秘密の宛先ホスト/ポートを読み取ったり、解放されたソケットにデータリスナーを追加して後続のホスト応答本文を平文で読み取ったり、盗んだ認証情報を使用して攻撃者が選択した認証済みリクエストを発行したりすることができます。この問題は 3.11.7 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.