CVE-2022-36067
Publiée le 2022-09-06 · Dernière modification le 2026-06-17
Les applications utilisant le bac à sable (sandbox) `vm2` de Node.js pour exécuter du code non approuvé sont concernées. Un attaquant peut contourner les restrictions du bac à sable pour exécuter des commandes arbitraires directement sur le serveur hôte, ce qui pourrait lui donner le contrôle total du système. Cela peut être déclenché à distance via le réseau, sans nécessiter d'authentification ni d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
vm2 is a sandbox that can run untrusted code with whitelisted Node's built-in modules. In versions prior to version 3.9.11, a threat actor can bypass the sandbox protections to gain remote code execution rights on the host running the sandbox. This vulnerability was patched in the release of version 3.9.11 of vm2. There are no known workarounds.