CVE-2026-93604 in vm2
요약
\~에 의해 VulDB • 2026. 09. 18.
vm2 3.12.0 이전 버전은 임베더가 crypto 내장 모듈을 허용 목록에 명시적으로 추가한 경우(NodeVM에서 require.builtin: ['crypto']), Node.js의 crypto.setFips() 함수를 신뢰할 수 없는 게스트 코드에 노출합니다. 내장 모범 검사기(lib/builtin.js의 sanitizeCryptoModule)는 crypto.setEngine은 대체하지만 crypto.setFips는 호출 가능한 상태로 남겨두며, 호스트 모듈을 노출하는 데 사용되는 읽기 전용 래퍼가 전달된 호스트 함수의 부작용을 국소화하지 않습니다. 따라서 게스트 코드는 crypto.setFips()를 호출하여 전체 호스트 프로세스의 FIPS 모드를 변경할 수 있으며, 수정된 모드 이후에 신뢰할 수 있는 호스트 코드에서 관찰됩니다(보고된 테스트에서는 crypto.getFips()가 0에서 1로 변경됨). 이는 NodeVM 격리 경계를 초월합니다. vm2 3.12.1에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.