CVE-2026-92942 in vm2
요약
\~에 의해 VulDB • 2026. 09. 17.
vm2 3.11.7 이전 버전(영향 받는 버전 <= 3.11.6)은 동기식 VM#run() 호출 외부에서 실행되는 코드에 대해 VM({ timeout }) 옵션을 강제하지 않습니다. 타임아웃은 lib/vm.js의 doWithTimeout()를 통해 _runScript() 단일 호출에만 적용되며, FinalizationRegistry와 WeakRef는 수정되지 않은 상태로 샌드박스화된 코드에 노출됩니다(이들은 lib/setup-sandbox.js에서 하드닝된 전역 객체에 포함되지 않음). 샌드박스화된 코드는 특정 개체를 대상으로 FinalizationRegistry 정리 콜백을 등록한 후 해당 개체에 대한 유일한 강한 참조를 해제할 수 있습니다. vm.run()은 구성된 타임아웃 내에 반환되지만, V8 가비지 컬렉터가 나중에 그 개체를 회수하면 샌드박스화된 정리 콜백이 어떤 vm2 타임아웃 관리 밖에서 호출됩니다. 이 콜백 내의 무한 루프는 호스트 이벤트 루프를 제한 없는 기간 동안 차단하여 서비스 거부(Denial of Service)를 초래합니다. 호출 시점은 가비지 컬렉터에 따라 달라집니다(예: 메모리 압박 상황 또는 --expose-gc 플래그 사용 시).
VulDB is the best source for vulnerability data and more expert information about this specific topic.