CVE-2026-100721

요약

vm2 3.12.2 이전 버전에는 NodeVM 외부 모듈 리졸버의 권한 부여 우회 취약점이 있습니다. 임베더가 `require.external`을 사용자 정의 리졸버로 구성하고 (`context: 'host'`인 경우), lib/resolver-compat.js의 `LegacyResolver.customResolve`는 해석된 모듈 디렉터리를 `this.externals`에 `new RegExp('^' + escapeRegExp(resolvedPath))`로 기록하며, 경로 구분자나 문자열 끝 경계를 요구하지 않습니다. 따라서 신뢰할 수 없는 게스트 코드는 허용 목록에 있는 모듈(예: `foo`)을 require한 다음, 해석된 접두사를 공유하는 비허용 형제 모듈의 절대 경로(예: `.../node_modules/foo2/index.js`)를 require할 수 있습니다. 이 형제 모듈은 `isPathAllowedForModule`을 통과하고 `hostRequire`를 통해 로드되므로, 해당 최상위 코드가 호스트 프로세스에서 실행되며, 이는 exports가 `vm.readonly`로 래핑되기 전에 발생하여 샌드박스 탈출 및 호스트 컨텍스트에서의 임의 코드 실행을 초래합니다.

소스

• CVE-2026-100721PoC

  CVE-2026-100721에 대한 Python PoC: vm2 <3.12.2 NodeVM 외부 허용 목록 우회를 탐지하고 익스플로잇하여 로컬 랩 또는 대량 HTTP 대상를 통해 샌드박스 탈출 및 호스트 RCE를 달성합니다.