CVE-2026-11114 – Escape de sandbox de Node.js vm mediante Proxy

Código del programa (Node.js)

// sandbox_server.js - Vulnerable VM sandbox
const vm = require('vm');
const express = require('express');
const app = express();

app.use(express.json());

app.post('/eval', (req, res) => {
    const code = req.body.code;
    const sandbox = { console: { log: () => {} } }; // limited sandbox
    const script = new vm.Script(code);
    const context = vm.createContext(sandbox);
    try {
        const result = script.runInContext(context);
        res.send(String(result));
    } catch(e) {
        res.send(e.message);
    }
});

app.listen(3000);

CVE-2026-11114 – Escape de sandbox de Node.js vm mediante Proxy

Descripción general

Una aplicación utiliza el módulo vm de Node.js para ejecutar código de usuario en una sandbox, pero no consigue aislar correctamente el objeto global. Un atacante puede acceder a la cadena de constructores (por ejemplo, a través de this.constructor.constructor) para escapar de la sandbox y ejecutar comandos arbitrarios de shell.

Detalles de la vulnerabilidad

• Tipo: Escape de sandbox
• Impacto: Ejecución remota de código en el servidor.
• Causa raíz: El contexto de vm todavía proporciona acceso a constructores integrados que otorgan acceso al ámbito global de Node.js (process).

Demostración del exploit

1. Inicie el servidor de sandbox:
   root@kitploit:~

   npm install express
   node sandbox_server.js
   

2. Ejecute el exploit:
   root@kitploit:~

   python exploit_vm_escape.py
   

La salida muestra el resultado de id, lo que demuestra la ejecución de comandos.