CVE-2023-32313
Açıklama
vm2, güvenilmeyen kodların Node'un yerleşik modülleriyle çalıştırılabildiği bir sandbox'tır. vm2'nin 3.9.17 ve daha düşük sürümlerinde, node `inspect` metoduna okunabilir-yazılabilir bir referans almak ve `console.log` seçeneklerini düzenlemek mümkündü. Sonuç olarak, bir tehdit aktörü `console.log` komutu için seçenekleri düzenleyebilir. Bu güvenlik açığı, `vm2`'nin `3.9.18` sürümünün yayınlanmasıyla giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, bir vm oluşturduktan sonra `vm.readonly(inspect)` ile `inspect` metodunu salt okunur hale getirebilirler.
Nasıl düzeltilir
- vm2_project vm23.9.18 ya da sonraki bir sürüm
- vm23.9.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2_project vm2 | v < 3.9.18 | 3.9.18 |
| vm2npm | v < 3.9.18 | 3.9.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.