CVE-2026-11114 – Node.js vm Evasione della Sandbox tramite Proxy

Codice del Programma (Node.js)

// sandbox_server.js - Vulnerable VM sandbox
const vm = require('vm');
const express = require('express');
const app = express();

app.use(express.json());

app.post('/eval', (req, res) => {
    const code = req.body.code;
    const sandbox = { console: { log: () => {} } }; // limited sandbox
    const script = new vm.Script(code);
    const context = vm.createContext(sandbox);
    try {
        const result = script.runInContext(context);
        res.send(String(result));
    } catch(e) {
        res.send(e.message);
    }
});

app.listen(3000);

CVE-2026-11114 – Node.js vm Evasione della Sandbox tramite Proxy

Panoramica

Un'applicazione utilizza il modulo vm di Node.js per eseguire codice utente in una sandbox, ma non riesce a isolare correttamente l'oggetto globale. Un attaccante può accedere alla catena dei costruttori (ad esempio, tramite this.constructor.constructor) per evadere dalla sandbox ed eseguire comandi shell arbitrari.

Dettagli sulla Vulnerabilità

• Tipo: Evasione della Sandbox
• Impatto: Esecuzione remota di codice sul server.
• Causa principale: Il contesto vm fornisce ancora accesso ai costruttori integrati che consentono di accedere all'ambito globale di Node.js (process).

Dimostrazione dell'Exploit

1. Avvia il server sandbox:

   npm install express
   node sandbox_server.js
   

2. Esegui l'exploit:

   python exploit_vm_escape.py
   

L'output mostra il risultato di id, dimostrando l'esecuzione di comandi.