Node.js Library(VM2) 보안 업데이트 권장 (CVE-2023-29017 취약점 확인)

확인해보시고 빠른 조치로 피해를 최소화하기를 권장합니다.

​

개요

o JavaScript VM2에서 특정 버전의 Nodejs Library를 통해 샌드박스 영역 외부에서 임의 셸코드 수행이 가능한 취약점 확인

o 해당 취약점은 CVSS 10으로 최고 점수 상태로 공표된 상태

- JavaScript sandbox VM2 크리티컬한 취약점이 발견 되었고, 패치가 필요

- 자바스크립트 샌드박스 VM2는 node js에서 사용하는 라이브러리

- 취약 버전을 확인하기 위해서는 npm audit 으로 확인도 가능

​

설명

o VM2는 Whitelist에 존재하는 Node.js의 내장 모듈로 특정 버전에서 처리되지 않은 비동기 오류구문을 제대로 처리하지 못해 발생하는 샌드박스 우회 원격코드 실행 취약점이 공표 [1]

o 3.9.15 이전 버전에 적용되는 취약점으로, 해당 취약점의 변종 유형에 대한 POC가 공개된 상황

​

영향받는 제품 및 해결 방안

o 3.9.15 이전 버전에 적용

o 3.9.15 이상의 버전으로 업데이트 적용 (npm update vm2 또는 npm install을 통한 3.9.15로 업데이트 수행

​

VE Number: CVE-2023-29017

Affected version: Including and prior to 3.9.14

vm2 version: ~3.9.14

Node version: 18.15.0, 19.8.1, 17.9.1

Fixed version: 3.9.15 of vm2

Workaround: None

​

Exploit PoC: https://gist.github.com/seongil-wi/2a44e082001b959bfe304b62121fb76d

​

References

CVE-2023-29017, https://nvd.nist.gov/vuln/detail/CVE-2023-29017

VM2 Sandbox Escape] Vulnerability in vm2@3.9.14, https://github.com/patriksimek/vm2/issues/515

Researchers Discover Critical Remote Code Execution Flaw in vm2 Sandbox Library, https://thehackernews.com/2023/04/researchers-discover-critical-remote.html

Sandbox Escape, patriksimek published GHSA-7jxr-cg7f-gpgv 3 days ago, https://github.com/patriksimek/vm2/security/advisories/GHSA-7jxr-cg7f-gpgv