CVE-2026-43997

SecBoard-Einordnung

CVE-2026-43997 betrifft vm2, eine Open-Source-VM/Sandbox für Node.js. Die Schwachstelle ermöglicht es, das Host-Objekt zu erhalten, was zu einem Sandbox-Escape führen kann. Angreifer könnten so die Isolation der Sandbox umgehen und potenziell auf das zugrunde liegende System zugreifen. Diese Schwachstelle wurde in Version 3.11.0 behoben.

Mit einem CVSS-Score von 10.0 wird diese Schwachstelle als kritisch eingestuft. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1% liegt und die Schwachstelle nicht im CISA KEV-Katalog aufgeführt ist, deutet der maximale CVSS-Score auf ein hohes potenzielles Risiko hin. Die Möglichkeit eines Sandbox-Escapes ist besonders gravierend in Umgebungen, die auf die Isolation durch vm2 angewiesen sind.

Security-Teams sollten umgehend alle Instanzen von vm2 auf Version 3.11.0 oder höher aktualisieren. Da die Schwachstelle einen vollständigen Sandbox-Escape ermöglicht, ist eine schnelle Behebung essenziell, um die Integrität und Sicherheit der betroffenen Node.js-Anwendungen zu gewährleisten. Eine Überwachung auf ungewöhnliche Aktivitäten in vm2-Umgebungen wird ebenfalls empfohlen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, it is possible to obtain the host Object. There are various ways to use the host Object, to escape the sandbox, one example would be using HostObject.getOwnPropertySymbols to obtain Symbol(nodejs.util.inspect.custom). This vulnerability is fixed in 3.11.0.

Erwähnungen (letzte 60 Tage)

SecBoard-Einordnung

Beschreibung

Betroffene Produkte

GitHub Advisories

Referenzen