0 
0 Os pesquisadores da Oxeye descobriram uma vulnerabilidade vm2 grave (CVE-2022-36067) que recebeu a pontuação máxima de CVSS de 10,0. Chamada de SandBreak, essa nova vulnerabilidade exige que líderes de P&D, engenheiros de AppSec e profissionais de segurança garantam a correção imediata do sandbox vm2 se o usarem em seus aplicativos.
biblioteca de sandbox vm2 Javascript
vm2 é a biblioteca de sandbox Javascript mais popular , com cerca de 17,5 milhões de downloads mensais. Ele fornece uma estrutura de teste de software comumente usada capaz de executar código não confiável de forma síncrona em um único processo.
É um dos ambientes de teste mais populares em uso por milhões de desenvolvedores porque permite controle total sobre a saída do console do sandbox com a capacidade de limitar o acesso a módulos internos selecionados ou métodos de chamada segura e troca de dados entre sandboxes.
A equipe de pesquisa da Oxeye encontrou uma vulnerabilidade crítica de escape de sandbox que leva à execução remota de código na vm2. A vulnerabilidade foi divulgada aos proprietários do projeto e rapidamente corrigida na versão 3.9.11. O GitHub emitiu o aviso CVE-2022-36067 para essa vulnerabilidade e deu uma pontuação CVSS de 10, colocando os usuários em alerta.
“Ficamos surpresos quando descobrimos essa vulnerabilidade, pois o módulo sandbox vm2 é extremamente popular e os sandboxes, por sua definição, devem ser seguros. Ao mesmo tempo, também nos sentimos felizes por encontrá-lo, pois poderíamos ajudar a protegê-lo e retribuir à comunidade. Afinal, não somos apenas pesquisadores e entusiastas de segurança, mas também desenvolvedores que usam componentes de código aberto”, disse Dean Agron , CEO da Oxeye, ao Help Net Security.
Qual é o impacto potencial do CVE-2022-36067?
Um agente de ameaças que explorar essa vulnerabilidade poderá ignorar o ambiente de sandbox vm2 e executar comandos de shell na máquina que o hospeda. Os sandboxes servem a diferentes propósitos em aplicativos modernos, como examinar arquivos anexados em servidores de e-mail, fornecer uma camada de segurança adicional em navegadores da Web ou isolar aplicativos em execução ativa em determinados sistemas operacionais.
Dada a natureza dos casos de uso para sandboxes, fica claro que a vulnerabilidade vm2 pode ter consequências terríveis para aplicativos que usam vm2 sem patch. O fato de essa vulnerabilidade ter a pontuação máxima do CVSS e ser extremamente popular significa que seu impacto potencial é generalizado e crítico.
“Nossa abordagem usual ao avaliar a segurança de um determinado software é primeiro analisar as falhas de segurança anteriores descobertas no mesmo software. Isso nos ajuda a entender melhor a superfície de ataque disponível e também pode levar a bugs de baixo impacto decorrentes de correções incompletas. Também nos ajuda a criar técnicas para contornar as correções implementadas. Ao revisar os bugs anteriores divulgados aos mantenedores do vm2, notamos uma técnica interessante: o relator do bug abusou do mecanismo de erro no Node.js para escapar do sandbox”, disse Gal Goldshtein , Pesquisador de Segurança Sênior da Oxeye.
Yuval Ostrovsky , Arquiteto da Oxeye, acrescentou que “Embora as sandboxes sejam destinadas a executar código não confiável em seu aplicativo, você não deve presumir automaticamente que elas são seguras. Se o uso de um sandbox for inevitável, é recomendável separar a parte lógica sensível do seu aplicativo do microsserviço que executa o código do sandbox para que, se um agente de ameaça sair do sandbox com sucesso, a superfície de ataque seja limitada ao microsserviço isolado .”
FONTE: HELPNET SECURITY