Aktualisieren Sie alle Instanzen von vm2 umgehend auf Version 3.12.2 oder höher.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 9.0+16
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-100721, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[NEU] [kritisch] vm2: Mehrere Schwachstellen
In vm2, einer Sandbox für Node.js, wurden kritische Schwachstellen entdeckt. Ein entfernter Angreifer kann diese ausnutzen, um beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen oder Denial-of-Service-Angriffe zu starten. Betroffen sind alle Versionen von vm2 unter 3.12.2. Nutzer sollten dringend auf Version 3.12.2 aktualisieren, um diese Risiken zu mindern.
SecBoard-Einordnung
Die Schwachstellen ermöglichen entfernten Angreifern die Ausführung von beliebigem Code, was zu einer vollständigen Kompromittierung der betroffenen Systeme führen kann. Dies stellt ein erhebliches Risiko für die Integrität und Vertraulichkeit von Daten dar.
Realistisch schlimmster Fall: Ein entfernter Angreifer erlangt die vollständige Kontrolle über Systeme, die vm2 verwenden, was zur Kompromittierung sensibler Daten, zur Installation von Malware oder zur Störung kritischer Dienste führen kann.
Key Facts
- CVSS
- 9.0 · CRITICAL
- EPSS
- 0.6%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- 3.12.2
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 7.5 · HIGH
- EPSS
- 0.4%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität
- Patch
- 3.12.2
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 6.8 · MEDIUM
- EPSS
- 0.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Verfügbarkeit
- Patch
- 3.12.2
- Zuweisende CNA
- disclosure@vulncheck.com
Betroffen
Organisationen, die vm2 in ihren Node.js-Anwendungen einsetzen, insbesondere Versionen unter 3.12.2.
Prüfen
3- ▸Überprüfen Sie alle Node.js-Projekte auf die Verwendung von vm2 und identifizieren Sie die installierte Version.
- ▸Scannen Sie Ihre Systeme auf bekannte Indikatoren für Kompromittierung (IOCs), die mit der Ausnutzung von Code-Ausführungsschwachstellen in Verbindung stehen könnten.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Patch-Management-Prozesse für kritische Bibliotheken wie vm2 etabliert und automatisiert sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen CVEs mit diesen Schwachstellen verbunden sind.
- ▸Die genauen Angriffsvektoren oder die Komplexität der Ausnutzung sind nicht detailliert beschrieben.
- ▸Es wird nicht angegeben, ob es bereits aktive Ausnutzungen dieser Schwachstellen gibt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„beliebigen Code auszuführen“
„Denial-of-Service-Angriffe zu starten“
„Sicherheitsmaßnahmen zu umgehen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.