Se ha descubierto una vulnerabilidad crítica de escape de sandbox en la popular biblioteca vm2 Node.js que, si se explota correctamente, podría permitir a los atacantes ejecutar código arbitrario en el sistema operativo subyacente.
La vulnerabilidad, rastreada como CVE-2026-22709 , tiene una puntuación CVSS de 9,8 sobre 10,0 en el sistema de puntuación CVSS.
«En vm2 para la versión 3.10.0, se puede omitir la desinfección de llamadas de Promise.prototype.catch», dijo Patrik Simek, mantenedor de vm2 dijo . «Esto permite a los atacantes escapar del entorno limitado y ejecutar código arbitrario».
vm2 es una biblioteca de Node.js que se utiliza para ejecutar código que no es de confianza dentro de un entorno de espacio aislado seguro mediante la interceptación y proxys de objetos de JavaScript para evitar que el código aislado acceda al entorno del host.
La falla recién descubierta se debe a la desinfección inadecuada por parte de la biblioteca de Gestores de promesas , que crea un vector de escape que da como resultado la ejecución de código arbitrario fuera de los límites del sandbox.
«La idea fundamental es que las funciones asíncronas en JavaScript devuelven objetos `GlobalPromise`, no objetos `LocalPromise`. Ya que `GlobalPromise.prototype.then` y `GlobalPromise.prototype.catch` no se desinfectan correctamente (a diferencia de `LocalPromise`)», explican Peyton Kennedy y Cris Staicu, investigadores de Endor Labs dijo .
Si bien el problema CVE-2026-22709 se abordó en la versión 3.10.2 de vm2, es la última de un flujo constante de fugas de entornos aislados que han afectado a la biblioteca en los últimos años. Esto incluye CVE-36067 , CVE-2023-29017 , CVE-2023-29199, CVE-2023-30547 , CVE-2023-32314 , CVE-2023-37466 , y CVE-2023-37903 .
El descubrimiento del CVE-2023-37903 en julio de 2023 también llevó a Simek a anunciar que el proyecto era siendo descontinuado . sin embargo, estas referencias se han eliminado desde entonces del último archivo README disponible en su repositorio de GitHub. El Página de seguridad también se actualizó en octubre de 2025 para mencionar que las versiones 3.x de vm2 se mantienen activamente.
Sin embargo, el responsable del mantenimiento de vm2 también ha reconocido que es probable que se descubran nuevas derivaciones en el futuro, por lo que insta a los usuarios a asegurarse de mantener la biblioteca actualizada y a considerar otras alternativas sólidas, como máquina virtual aislada , para mayores garantías de aislamiento.
«En lugar de confiar en el problemático modelo de máquina virtual, el sucesor de vm2, isolated-vm, se basa en la interfaz Isolate nativa de V8, que ofrece una base más sólida, pero aun así, los responsables del mantenimiento de la vm2 destacan la importancia del aislamiento y, de hecho, recomiendan Docker con una separación lógica entre los componentes», Semgrep dijo .
En vista de la gravedad de la falla, se recomienda a los usuarios que actualicen a la versión más reciente ( 3,10,3 ), que incluye correcciones para otros escapes de sandbox.
Post generado automáticamente, fuente oficial de la información: THEHACKERNEWS