Les mainteneurs du module de bac \u00e0 sable vm2 JavaScript ont livr\u00e9 un correctif pour corriger une faille critique qui pourrait \u00eatre exploit\u00e9e pour sortir des limites de s\u00e9curit\u00e9 et ex\u00e9cuter un shellcode arbitraire.<\/p>\n
La faille, qui affecte toutes les versions, y compris et avant la 3.9.14, \u00e9tait signal\u00e9<\/a> par des chercheurs bas\u00e9s en Cor\u00e9e du Sud Laboratoire KAIST WSP<\/a> le 6 avril 2023, incitant vm2 \u00e0 publier un correctif avec version 3.9.15<\/a> vendredi.<\/p>\n “Un acteur malveillant peut contourner les protections du bac \u00e0 sable pour obtenir des droits d’ex\u00e9cution de code \u00e0 distance sur l’h\u00f4te ex\u00e9cutant le bac \u00e0 sable”, vm2 divulgu\u00e9<\/a> dans un avis.<\/p>\n La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 affect\u00e9e \u00e0 l’identification CVE-2023-29017<\/a> et est not\u00e9 9,8 sur le syst\u00e8me de notation CVSS. Le probl\u00e8me provient du fait qu’il ne g\u00e8re pas correctement les erreurs qui se produisent dans les fonctions asynchrones.<\/p>\n vm2 est un biblioth\u00e8que populaire<\/a> qui est utilis\u00e9 pour ex\u00e9cuter du code non approuv\u00e9 dans un environnement isol\u00e9 sur Node.js. Il compte pr\u00e8s de quatre millions de t\u00e9l\u00e9chargements hebdomadaires et est utilis\u00e9 dans 721 colis<\/a>.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Seongil Wi, chercheur en s\u00e9curit\u00e9 au KAIST, a \u00e9galement mis \u00e0 disposition deux variantes diff\u00e9rentes<\/a> d’un exploit de preuve de concept (PoC) pour CVE-2023-29017 qui contourne les protections du bac \u00e0 sable et permet la cr\u00e9ation d’un fichier vide nomm\u00e9 “flag” sur l’h\u00f4te.<\/p>\n La divulgation intervient pr\u00e8s de six mois apr\u00e8s que vm2 ait r\u00e9solu un autre bogue critique (CVE-2022-36067, score CVSS : 10) qui aurait pu \u00eatre militaris\u00e9 pour effectuer des op\u00e9rations arbitraires sur la machine sous-jacente.<\/p>\n <\/p>\n