Aller au contenu
en Se connecter
9.8 Critique

CVE-2026-44008 vm2 has sandbox breakout via `neutralizeArraySpeciesBatch`

Description

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.2, the new method neutralizeArraySpeciesBatch works with objects from the other side but can call into this side via getter on the array prototype exposing objects of the wrong side into the sandbox. This can be used to get host objects and get the host Function object. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This vulnerability is fixed in 3.11.2.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Aucun
Interaction
Aucune
Portée
Inchangée
Confidentialité
Élevé
Intégrité
Élevé
Disponibilité
Élevé

Produits et versions touchés

Produit Versions touchées Corrigé en
vm2 3.11 premières → < 3.11.2 3.11.2
Self-service automation portal 2 Versions non publiées
Red Hat Developer Hub Versions non publiées
Red Hat Ansible Automation Platform 2.1 1785854226 premières → < 1785854226 1785854226

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de vm2

Les 77 CVE de vm2 →
CVE-2026-100723 vm2 before 3.12.2 does not apply its Buffer backing-store ownership invariant (byteOffset === 0 and buffer.byteLength… 6.9 Moyenne CVE-2026-100722 vm2 before 3.12.2 does not apply host-side Promise rejection handling in the sandbox-to-host construct trap 8.9 Élevée CVE-2026-100721 vm2 before 3.12.2 contains an authorization bypass in the NodeVM external-module resolver 9.5 Critique CVE-2026-93606 vm2 (npm) versions 3.12.0 and earlier contain a sandbox escape in `VM` and `NodeVM` 10.0 Critique
Suivre cette CVE