CVE-2026-92952 in vm2
요약
\~에 의해 VulDB • 2026. 09. 17.
vm2 버전 3.11.4부터 3.11.6까지에서는 샌드박스 경계 너머로 Node.js 등록 내부 심볼이 불완전하게 필터링됩니다. lib/setup-sandbox.js의 추출 필터와 lib/bridge.js의 크로스 리alm(교차 영역) 심볼 검사 및 쓰기 트랩은 nodejs.stream.disturbed 및 nodejs.stream.errored를 누락한 알려진 위험한 등록된 심볼의 고정된 목록을 사용합니다. 이는 최신 Node.js 릴리스에서 호스트 WebStream 프로토타입에 노출되는 심볼입니다(Node.js v25.8.0에서 검증됨). 임베더가 호스트 WebStream 객체와 호스트 스트림/웹 모듈을 샌드박스에 노출할 때, 샌드박스 코드는 Object.getOwnPropertySymbols(streamWeb.ReadableStream.prototype)를 통해 실제 호스트 심볼을 획득하고 이를 호스트 스트림 객체의 쓰기 키로 사용하여 호스트에서 가시적인 스트림 상태를 손상시킬 수 있습니다. 예를 들어 이미 소비된 스트림에 대해 stream.Readable.isDisturbed()가 false를 반환하도록 만듭니다. 이는 Node의 공개 스트림 상태 헬퍼 함수에 의존하여 일회성 바디 소비를 강제하거나, 오류 발생 스트림을 거부하거나, 다른 구성 요소에 전달할 스트림이 안전한지 여부를 결정하는 호스트 로직을 우회할 수 있습니다. 보고된 취약점 증명(PoC)에서는 이는 호스트 코드 실행 원시 연산자(primitive)가 아닙니다. 이것은 이전의 nodejs.* 심볼 필터링 문제에 대한 불완전한 수정입니다. vm2 3.11.7에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.