CVE-2026-93604
Açıklama
vm2 3.12.0 sürümüne kadar olan versiyonlar, bir gömücü (embedder) bir NodeVM için crypto yerleşik modülünü açıkça izinli listeye eklediğinde (require.builtin: ['crypto']), güvenilmeyen konuk koduna Node.js'in crypto.setFips() fonksiyonunu açmaktadır. Yerleşik temizleyici (lib/builtin.js içindeki sanitizeCryptoModule), crypto.setEngine fonksiyonunu değiştirir ancak crypto.setFips fonksiyonunu çağrılabilir durumda bırakır ve ana bilgisayar modülünü sunmak için kullanılan salt okunur sarmalayıcı, iletilen ana bilgisayar fonksiyonlarının yan etkilerini yerelleştirmez. Bu nedenle konuk kodu, tüm ana bilgisayar işleminin FIPS modunu değiştirmek için crypto.setFips() fonksiyonunu çağırabilir; değiştirilen mod daha sonra güvenilir ana bilgisayar kodu tarafından gözlemlenerek (bildirilen testte crypto.getFips() 0'dan 1'e değişmiştir) NodeVM izolasyon sınırını aşmış olur. vm2 3.12.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- patriksimek vm23.12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| patriksimek vm2 | v < 3.12.1 | 3.12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.