> vm2 安全漏洞

vm2 安全漏洞

CNNVD-ID编号	CNNVD-202207-1231	CVE编号	CVE-2019-10761
发布时间	2022-07-13	更新时间	2022-07-14
漏洞类型	其他	漏洞来源	N/A
危险等级	N/A	威胁类型	N/A
厂商	N/A

漏洞介绍

vm2是捷克Patrik Simek个人开发者的一个 Node.js 的高级虚拟机/沙盒。以使用列入白名单的 Node 内置模块运行不受信任的代码。 vm2 3.6.11之前版本存在安全漏洞，该漏洞源于通过无限递归达到堆栈调用限制，有可能从主机而不是\"沙盒\"上下文触发RangeError异常，然后使用返回的对象来引用运行脚本主机代码的mainModule属性，从而允许它生成一个child_process并执行任意代码。

漏洞补丁

目前厂商已发布升级了vm2 安全漏洞的补丁，vm2 安全漏洞的补丁获取链接： https://github.com/patriksimek/vm2/issues/197

参考网址

来源:MISC

链接：https://github.com/patriksimek/vm2/commit/4b22d704e4794af63a5a2d633385fd20948f6f90

来源:MISC

链接：https://snyk.io/vuln/SNYK-JS-VM2-473188

来源:MISC

链接：https://github.com/patriksimek/vm2/issues/197

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202207-1231