CVE-2026-93604 in vm2
摘要
由 VulDB • 2026-09-18
vm2 fino alla versione 3.12.0 espone la funzione crypto.setFips() di Node.js al codice guest non attendibile quando un embedder consente esplicitamente il modulo built-in crypto per un NodeVM (require.builtin: ['crypto']). Il sanitizer dei moduli built-in (sanitizeCryptoModule in lib/builtin.js) sostituisce crypto.setEngine ma lascia crypto.setFips richiamabile, e l'avvolgimento readonly utilizzato per esporre il modulo host non isola gli effetti collaterali delle funzioni host inoltrate. Di conseguenza, il codice guest può chiamare crypto.setFips() per modificare la modalità FIPS dell'intero processo host; la modalità modificata viene successivamente osservata dal codice host attendibile (crypto.getFips() è passato da 0 a 1 nel test segnalato), violando il confine di isolamento di NodeVM. Risolto in vm2 3.12.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.