Forrof

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.11.3 through 3.11.6 **Description** Quando a configuração `builtin: ['*']` ou permissão explícita é concedida, o módulo host `node:sqlite` é exposto ao código executado no NodeVM. Embora o módulo seja envolvido por `vm.readonly()` para evitar a atribuição de propriedades, as funções chamáveis de autoridade do host permanecem acessíveis. Uma falha no resolver permite que uma solicitação para `node:node:sqlite` seja resolvida para a entrada `node:sqlite`, pois o runtime remove apenas um prefixo `node:`. Isso permite que o código no sandbox crie um `DatabaseSync` em memória com o carregamento de extensões habilitado e execute `DatabaseSync.loadExtension()` em uma biblioteca nativa. Consequentemente, a biblioteca é carregada no processo host do Node.js, permitindo a execução de código nativo arbitrário com os privilégios do processo host. **Recommendations** Atualizar para a versão 3.11.7.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.11.3 through 3.11.6 **Description** Quando o builtin crypto é permitido, o módulo crypto do host Node.js é exposto a um sandbox NodeVM. Embora o módulo seja apresentado via um proxy de leitura recursiva, suas exportações chamáveis ainda são executadas com autoridade do processo host. Isso permite que o JavaScript no sandbox chame a função `setEngine()` com um caminho de sistema de arquivos para uma biblioteca nativa fornecida por um invasor. O OpenSSL então solicita ao carregador dinâmico do sistema operacional que carregue o arquivo, fazendo com que o construtor da biblioteca execute código nativo no processo host antes que a validação de símbolos do engine o rejeite. Isso resulta em um escape de sandbox e execução de código nativo arbitrário, exigindo apenas o builtin crypto, sem a necessidade de acesso a `fs`, `process`, `module`, `child process`, `worker threads`, `vm` ou `inspector`. **Recommendations** Atualize para a versão 3.11.7. Como medida paliativa temporária, restrinja o uso do builtin crypto no sandbox NodeVM.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.11.3 a 3.11.6 **Descrição** Quando um NodeVM é configurado para permitir `require('https')`, o `https.globalAgent` do processo hospedeiro é exposto ao código em sandbox. Embora o carregador integrado utilize um proxy de apenas leitura para módulos do hospedeiro, chamadas de método como `Agent.prototype.on()` são encaminhadas para o objeto hospedeiro. Isso permite que o código em sandbox registre um ouvinte para o evento `free` do agente. Quando uma requisição HTTPS do hospedeiro libera uma conexão agrupada, o ouvinte obtém acesso às opções de requisição do hospedeiro e ao `TLSSocket` do hospedeiro. Consequentemente, o código em sandbox pode ler o cabeçalho `Authorization` e o host/porta de destino privado, interceptar corpos de resposta subsequentes do hospedeiro em texto simples e realizar requisições autenticadas usando credenciais roubadas. **Recomendações** Atualize o vm2 para a versão 3.11.7.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.11.3 até 3.11.6 **Descrição** O módulo tls do host é exposto ao código do sandbox NodeVM, permitindo que invasores chamem a função `setDefaultCACertificates()` e substituam as autoridades de certificação de todo o processo. Ao utilizar os builtins de tls e url permitidos, invasores podem usar `URLSearchParams` para criar arrays de realm do host e manipular o armazenamento de confiança TLS. Isso permite que clientes HTTPS do host subsequentes aceitem certificados controlados pelo invasor, resultando em uma fuga completa do sandbox. **Recomendações** Atualize o vm2 para a versão 3.11.7 ou posterior.