CVE-2026-11114 – Évasion de sandbox Node.js vm via Proxy

Code du programme (Node.js)

// sandbox_server.js - Vulnerable VM sandbox
const vm = require('vm');
const express = require('express');
const app = express();

app.use(express.json());

app.post('/eval', (req, res) => {
    const code = req.body.code;
    const sandbox = { console: { log: () => {} } }; // limited sandbox
    const script = new vm.Script(code);
    const context = vm.createContext(sandbox);
    try {
        const result = script.runInContext(context);
        res.send(String(result));
    } catch(e) {
        res.send(e.message);
    }
});

app.listen(3000);

CVE-2026-11114 – Évasion de sandbox Node.js vm via Proxy

Vue d'ensemble

Une application utilise le module vm de Node.js pour exécuter du code utilisateur dans une sandbox, mais ne parvient pas à isoler correctement l'objet global. Un attaquant peut accéder à la chaîne de constructeurs (par exemple, via this.constructor.constructor) pour s'échapper de la sandbox et exécuter des commandes shell arbitraires.

Détails de la vulnérabilité

• Type : Évasion de sandbox
• Impact : Exécution de code à distance sur le serveur.
• Cause racine : le contexte vm fournit toujours un accès aux constructeurs intégrés qui donnent accès à la portée globale de Node.js (process).

Démonstration de l'exploit

1. Démarrez le serveur sandbox :
   root@kitploit:~

   npm install express
   node sandbox_server.js
   

2. Exécutez l'exploit :
   root@kitploit:~

   python exploit_vm_escape.py
   

La sortie affiche le résultat de la commande id, prouvant l'exécution de commandes.