{"id":408169,"date":"2022-10-11T10:27:35","date_gmt":"2022-10-11T12:27:35","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-detaillent-une-faille-rce-critique-signalee-dans-la-populaire-sandbox-vm2-javascript\/"},"modified":"2022-10-11T10:27:36","modified_gmt":"2022-10-11T12:27:36","slug":"des-chercheurs-detaillent-une-faille-rce-critique-signalee-dans-la-populaire-sandbox-vm2-javascript","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-detaillent-une-faille-rce-critique-signalee-dans-la-populaire-sandbox-vm2-javascript\/","title":{"rendered":"Des chercheurs d\u00e9taillent une faille RCE critique signal\u00e9e dans la populaire sandbox vm2 JavaScript"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans le module sandbox vm2 JavaScript pourrait \u00eatre exploit\u00e9e par un adversaire distant pour briser les barri\u00e8res de s\u00e9curit\u00e9 et effectuer des op\u00e9rations arbitraires sur la machine sous-jacente.<\/p>\n

“Un acteur malveillant peut contourner les protections du bac \u00e0 sable pour obtenir des droits d’ex\u00e9cution de code \u00e0 distance sur l’h\u00f4te ex\u00e9cutant le bac \u00e0 sable”, GitHub a dit<\/a> dans un avis publi\u00e9 le 28 septembre 2022.<\/p>\n

\"La<\/a><\/div>\n

Le probl\u00e8me, suivi sous le nom de CVE-2022-36067 et nomm\u00e9 Sandbreak, porte une cote de gravit\u00e9 maximale de 10 sur le syst\u00e8me de notation de vuln\u00e9rabilit\u00e9 CVSS. Il a \u00e9t\u00e9 abord\u00e9 dans version 3.9.11<\/a> sortie le 28 ao\u00fbt 2022.<\/p>\n

vm2 est un biblioth\u00e8que Node populaire<\/a> qui est utilis\u00e9 pour ex\u00e9cuter du code non approuv\u00e9 avec des modules int\u00e9gr\u00e9s sur liste blanche. C’est aussi l’un des logiciels les plus t\u00e9l\u00e9charg\u00e9s, avec pr\u00e8s de 3,5 millions de t\u00e9l\u00e9chargements par semaine.<\/p>\n

\"Bac<\/div>\n

La d\u00e9faut<\/a> est enracin\u00e9 dans le m\u00e9canisme d’erreur de Node.js pour \u00e9chapper au bac \u00e0 sable, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 des applications Oxeye, qui a d\u00e9couvert la faille<\/a>.<\/p>\n

Cela signifie qu’une exploitation r\u00e9ussie de CVE-2022-36067 pourrait permettre \u00e0 un attaquant de contourner l’environnement de bac \u00e0 sable vm2 et d’ex\u00e9cuter des commandes shell sur le syst\u00e8me h\u00e9bergeant le bac \u00e0 sable.<\/p>\n

\"La<\/a><\/div>\n

Compte tenu de la nature critique de la vuln\u00e9rabilit\u00e9, il est recommand\u00e9 aux utilisateurs de mettre \u00e0 jour vers la derni\u00e8re version d\u00e8s que possible pour att\u00e9nuer les menaces \u00e9ventuelles.<\/p>\n

“Les bacs \u00e0 sable servent \u00e0 diff\u00e9rentes fins dans les applications modernes, telles que l’examen des fichiers joints dans les serveurs de messagerie, la fourniture d’une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire dans les navigateurs Web ou l’isolement des applications en cours d’ex\u00e9cution actives dans certains syst\u00e8mes d’exploitation”, a d\u00e9clar\u00e9 Oxeye.<\/p>\n

“Compte tenu de la nature des cas d’utilisation des bacs \u00e0 sable, il est clair que la vuln\u00e9rabilit\u00e9 vm2 peut avoir des cons\u00e9quences d\u00e9sastreuses pour les applications qui utilisent vm2 sans correctif.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans le module sandbox vm2 JavaScript pourrait \u00eatre exploit\u00e9e par un adversaire distant pour briser les barri\u00e8res de s\u00e9curit\u00e9 et effectuer des op\u00e9rations arbitraires sur la machine sous-jacente. “Un acteur malveillant peut contourner les protections du bac \u00e0 sable pour obtenir des droits d’ex\u00e9cution de code \u00e0 distance sur […]<\/p>\n","protected":false},"author":1,"featured_media":408170,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[12848,4168,22,4158,4165,4161,429,133,38951,9048,7305,4157,4159,4171,4170,4167,4160,4163,4162,440,22778,59027,4172,4169,9499,196,4166,115959,4164],"class_list":["post-408169","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-chercheurs","tag-comment-pirater","tag-critique","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dans","tag-des","tag-detaillent","tag-faille","tag-javascript","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-populaire","tag-rce","tag-sandbox","tag-securite-informatique","tag-securite-internet","tag-signalee","tag-une","tag-violation-de-donnees","tag-vm2","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/408169","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=408169"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/408169\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/408170"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=408169"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=408169"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=408169"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}