CVE-2026-43999

SecBoard-Einordnung

Die Schwachstelle CVE-2026-43999 betrifft die Node.js-Sandbox-Bibliothek vm2, genauer gesagt die Komponente NodeVM. Es handelt sich um eine Bypass-Schwachstelle in der integrierten Allowlist, die es ermöglicht, die Sandbox-Beschränkungen zu umgehen. Dies kann zur Ausführung von Remote Code führen, indem ausgeschlossene Builtins wie child_process geladen werden. Mit einem CVSS-Score von 9.9 wird diese Schwachstelle als kritisch eingestuft. Obwohl der EPSS-Wert mit 1% eine geringe Exploit-Wahrscheinlichkeit anzeigt und die Schwachstelle nicht in CISA KEV gelistet ist, deutet die Möglichkeit der Remote Code Execution auf ein hohes Risiko hin, sobald Exploits verfügbar werden. Security-Teams sollten umgehend alle Instanzen von vm2 auf die Version 3.11.0 oder höher aktualisieren. Da die Schwachstelle die Sandbox-Isolation vollständig umgehen kann, ist eine schnelle Behebung essenziell, um die Integrität der Anwendungen zu gewährleisten.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, NodeVM's builtin allowlist can be bypassed when the module builtin is allowed (including via the '*' wildcard). The module builtin exposes Node's Module._load(), which loads any module by name directly in the host context, completely bypassing vm2's builtin restriction. This allows sandboxed code to load excluded builtins like child_process and achieve remote code execution. This vulnerability is fixed in 3.11.0.

Erwähnungen (letzte 60 Tage)

SecBoard-Einordnung

Beschreibung

Betroffene Produkte

GitHub Advisories

Referenzen