PT-2023-3541 · Node.Js · Vm2

Seunghyun Lee + 1 · Publicado 2023-07-06 · Atualizado 2026-06-04 · CVE-2023-37466

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.10.0

Descrição o vm2 é um sandbox avançado para Node.js. Uma falha na sanitização do manipulador Promise permite que a propriedade de acesso @@species seja ignorada. Isso permite que invasores que já possuam primitivas de execução de código arbitrário dentro do contexto do sandbox escapem do ambiente isolado e executem código arbitrário no sistema host, potencialmente levando à execução remota de código. A manutenção do projeto foi descontinuada e a biblioteca não é recomendada para uso em produção.

Recomendações Atualize para a versão 3.10.0.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

CWE-265

Identificadores relacionados

BDU:2023-03752

CVE-2023-37466

GHSA-CCHQ-FRGV-RJH5

Produtos afetados

Vm2

Referências · 29

• 🔥 https://github.com/patriksimek/vm2/security/advisories/GHSA-cchq-frgv-rjh5 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2023/37xxx/CVE-2023-37466.json · Exploit
• https://github.com/patriksimek/vm2 · Nota
• https://github.com/patriksimek/vm2/releases/tag/v3.10.0 · Nota
• https://github.com/patriksimek/vm2/commit/d9a1fde8ec5a5a9c9e5a69bf91d703950859d744 · Nota
• https://t.me/cvenotify/54359 · Publicação no Telegram
• https://t.me/cveNotify/162777 · Publicação no Telegram
• https://t.me/cvenotify/55308 · Publicação no Telegram
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2023-37466 · Aviso do Fabricante
• https://vuldb.com/?id.234069 · Nota
• https://twitter.com/TheTechWorldPod/status/2017188696965972022 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2023-03752 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cchq-frgv-rjh5 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20241108-0002 · Nota
• https://t.me/cveNotify/162541 · Publicação no Telegram