CVE-2026-93604
Təsvir
vm2-nin 3.12.0 versiyasına qədər olan versiyaları, əgər tətbiqçi NodeVM üçün crypto daxili modulunu açıq şəkildə ağ siyahıya əlavə edibsə (require.builtin: ['crypto']), etibarsız qonaq kodu üçün Node.js-in crypto.setFips() funksiyasını əlçatan edir. Daxili təmizləyici (lib/builtin.js faylında sanitizeCryptoModule) crypto.setEngine funksiyasını əvəz edir, lakin crypto.setFips funksiyasını çağırıla bilən saxlayır və host modulunu təqdim etmək üçün istifadə olunan yalnızoxunan örtük ötürülmüş host funksiyalarının yan təsirlərini lokallaşdırmır. Buna görə də, qonaq kodu bütün host prosesinin FIPS rejimini dəyişmək üçün crypto.setFips() funksiyasını çağıra bilər; dəyişdirilmiş rejim daha sonra etibarlı host kodu tərəfindən müşahidə edilir (hesabat verilmiş testdə crypto.getFips() 0-dan 1-ə dəyişib) və bu, NodeVM izolyasiya sərhədini pozur. Problem vm2 3.12.1 versiyasında düzəldilib.
Necə düzəltmək olar
- patriksimek vm23.12.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| patriksimek vm2 | v < 3.12.1 | 3.12.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.