Phát hiện lỗ hổng nghiêm trọng thứ ba trong sandbox JavaScript vm2

[WhiteHat Team]

Một lỗ hổng an ninh nghiêm trọng đã được phát hiện trong sandbox JavaScript vm2 phổ biến, được sử dụng để chạy mã không tin cậy trong môi trường cô lập trên Node.js. Với gần 4 triệu lượt tải xuống hàng tuần và được tích hợp vào 721 package, lỗ hổng này có thể ảnh hưởng đến một số lượng lớn các nhà phát triển và ứng dụng.

Có mã định danh CVE-2023-30547 và mức điểm CVSS là 9,8, lỗ hổng có thể cho phép kẻ tấn công thực thi shellcode tùy ý. Lỗ hổng đã được báo cáo vào ngày 17 tháng 4 năm 2023. Các nhà quản trị của vm2 đã nhanh chóng phát hành một bản vá với phiên bản 3.9.17. Lỗi ảnh hưởng đến tất cả các phiên bản vm2 từ 3.9.16 trở về trước và không có cách giảm thiểu.

CVE-2023-30547 nằm trong quá trình xử lý ngoại lệ (exception sanitization) của vm2. Hacker đã tạo ra một tình huống không bình thường để dẫn luồng thực thi vào phần ngoại lệ. Khi hàm handleException() tiến hành xử lý sẽ dẫn đến lỗi cho phép tin tặc qua mặt được sandbox và chạy mã tùy ý trong môi trường máy chủ. Hiện PoC của lỗ hổng đã được công bố.

Tuần trước, hai lỗ hổng nghiêm trọng khác là CVE-2023-29017 (điểm CVSS: 10) có thể cho phép tin tặc thực thi mã từ xa và CVE-2023-29199 (điểm CVSS: 9,8) cho phép kẻ tấn công qua mặt được cơ chế bảo vệ của sandbox để thực thi mã tùy ý trên hệ thống cũng đã được phát hiện trong sandbox của vm2.

Cả ba lỗ hổng đều được đánh giá mực độ cực kỳ nghiêm trọng và không có biện pháp giảm thiểu. Chuyên gia WhiteHat khuyến cáo các nhà phát triển và quản trị ứng dụng nên nâng cấp lên phiên bản mới nhất ngay lập tức.

Nguồn: Security Online​