Impatto Sistemico

Critico (75.38)

Sintesi

Aggiornamenti di sicurezza sanano 12 nuove vulnerabilità, con gravità “critica” e per le quali risultano disponibili PoC pubblici, nella libreria open-source ‘vm2’, componente di Node.js usato per eseguire codice JavaScript all’interno di una “sandbox” sicura. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un attaccante di evadere la sandbox consentendo l’esecuzione di comandi arbitrari direttamente sul sistema ospitante.

Tipologia

• Remote Code Execution
• Arbitrary Code Execution
• Security Feature Bypass
• Security Restrictions Bypass
• Elevation of Privilege
• Privilege Escalation

Prodotti e versioni affette

vm2

• versioni precedenti alla 3.10.5
• 3.11.x, versioni precedenti alla 3.11.1

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni fornite dallo sviluppatore e disponibili ai link nella sezione Riferimenti.