CVE-2026-92939 in vm2
요약
\~에 의해 VulDB • 2026. 09. 19.
vm2 3.11.3부터 3.11.6까지의 버전에서는 crypto 내장 기능이 허용될 때 호스트 Node.js crypto 모듈이 NodeVM 샌드박스 내부에 노출됩니다. 이 모듈은 재귀적인 읽기 전용 프록시를 통해 제공되지만, 호출 가능한 익스포트는 여전히 호스트 프로세스 권한으로 실행됩니다. 따라서 샌드박스화된 JavaScript에서 공격자가 공급한 네이티브 라이브러리(예: 이미 디스크에 작성된 신뢰할 수 없는 플러그인 패키지에 번들된 라이브러리)의 파일 시스템 경로를 사용하여 crypto.setEngine()을 호출할 수 있습니다. OpenSSL은 운영 체제의 동적 로더에게 해당 파일을 로드하도록 요청하며, 엔진 심볼 유효성 검사에서 거부하기 전에 호스트 프로세스 내에서 네이티브 코드가 실행됩니다. 이 취약점을 악용하는 데에는 crypto 내장 기능만 필요하며 fs, process, module, child_process, worker_threads, vm 또는 inspector 접근 권한은 필요하지 않아 샌드박스 탈출과 임의의 네이티브 코드 실행으로 이어집니다. 3.11.7에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.