CVE-2026-92938: Kritisk sandkasse-flugt i vm2 til Node.js

CVE-2026-92938 er en sårbarhed i vm2, et populært JavaScript-bibliotek til Node.js, der bruges til at køre upålidelig kode isoleret i en sandkasse, altså et lukket miljø adskilt fra resten af serveren. Fejlen betyder, at kode i sandkassen kan udnytte Node.js-modulet node:sqlite til at indlæse et natives biblioteksfil, der bygger på en fejl i, hvordan vm2 fjerner ‘node:’-præfikser ved opslag af moduler. Det betyder, at et angreb kaldet ‘node:node:sqlite’ narrer systemet til at give adgang til det rigtige sqlite-modul, selvom det kun burde være skrivebeskyttet. Herfra kan sandkasse-koden få SQLite til at indlæse og køre en medbragt fil direkte i værtsprocessen, altså selve serverprogrammet, uden om sandkassens begrænsninger.

Det rammer virksomheder, der bruger vm2 version 3.11.3 til 3.11.6 som del af en Node.js-applikation, hvor tredjepartskode, plugins eller kundeindsendte scripts køres i en sandkasse. Det gælder typisk platforme med plugin-markedspladser, low-code eller automatiseringsværktøjer, CI/CD-systemer der eksekverer brugerdefinerede scripts, samt SaaS-løsninger der tilbyder kodeudførsel som en tjeneste. Sårbarheden kræver, at node:sqlite-modulet er tilladt i sandkassens konfiguration, enten direkte eller via en jokerregel som builtin: [‘*’].

En angriber, der kan levere kode til sandkassen, for eksempel som plugin-udvikler eller bruger af en automatiseringsplatform, kan bryde ud af isolationen og få fuld kodeudførsel på værtsserveren med samme rettigheder som selve applikationen. I praksis betyder det adgang til databaser, filer, netværk og andre systemer, serveren har forbindelse til. For en dansk virksomhed, der driver en platform med plugin-support, kan det føre til datatyveri fra alle kunder på platformen, ikke kun den ondsindede bruger selv.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder, for eksempel adgang til at indsende kode eller et plugin, ingen handling fra en bruger og ingen adgang over netværket ud over det, angriberen allerede har til sandkassen. Fejlen ændrer omfanget af, hvad angriberen kan påvirke, fra sandkassen til hele værtsprocessen, og giver fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke oplysninger om aktiv udnyttelse i det åbne, men den tekniske beskrivelse er detaljeret nok til, at et fungerende angreb kan bygges hurtigt.

Sårbarheden er rettet, og det vigtigste er at opdatere med det samme.

1. Opdatér vm2 til version 3.11.7 eller nyere i alle applikationer, der bruger biblioteket.
2. Gennemgå jeres sandkasse-konfiguration og fjern node:sqlite fra listen af tilladte builtins, hvis det ikke er strengt nødvendigt, indtil opdateringen er rullet ud.
3. Undersøg logs for usædvanlig brug af node:sqlite eller forsøg på moduloopslag med dobbelte ‘node:’-præfikser.
4. Kortlæg, hvilke af jeres systemer der overhovedet bruger vm2 til at køre tredjepartskode, og prioritér dem, der er tilgængelige fra internettet eller kører kode fra eksterne brugere.
5. Test opdateringen i et testmiljø, hvis jeres platform er forretningskritisk, men undlad at udskyde selve opdateringen mere end nødvendigt.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres sandkasse-opsætning er sårbar, eller hvis I mistænker, at sårbarheden allerede er udnyttet.