CVE-2026-93605: Kritisk sandkasse-flugt i vm2 NodeVM

vm2 er et populært JavaScript-bibliotek, der bruges til at køre ukendt eller ekstern kode i en isoleret sandkasse, altså et lukket miljø hvor koden ikke kan påvirke resten af serveren. NodeVM er en del af vm2, der lader udviklere køre Node.js-moduler inde i denne sandkasse. Sårbarheden CVE-2026-93605 opstår, fordi listen over farlige moduler, DANGEROUS_BUILTINS, som skal forhindre kode i at bryde ud, ved en fejl ikke blokerer modulet child_process. Med dette modul kan angribere starte systemkommandoer direkte på den server, der kører sandkassen. Fejlen rammer opsætninger, hvor NodeVM er konfigureret med builtin:[‘*’] eller med udtrykkelig adgang til child_process. Det, der skulle være en sikker isolering af ukendt kode, giver i praksis fuld adgang til serveren.

Sårbarheden rammer virksomheder, der har udviklet eller købt applikationer, som bruger vm2’s NodeVM til at køre brugerindsendt eller ekstern kode. Det gælder typisk platforme med plugin-systemer, online kodeeditorer, automatiserede test- og udviklingsværktøjer og SaaS-løsninger, der tilbyder brugerdefinerede scripts. Alle versioner af vm2 før 3.12.1 er sårbare, forudsat at NodeVM er sat op med builtin:[‘*’] eller eksplicit tilladelse til child_process. Danske virksomheder med egenudviklede webapplikationer eller interne værktøjer, der bygger på vm2, bør undersøge, om biblioteket indgår i deres kodebase.

En angriber, der kan sende kode til den sårbare sandkasse, for eksempel via en plugin-upload eller en kodeeditor, kan omgå isoleringen og køre vilkårlige kommandoer på den underliggende server. Det giver adgang til filsystem, databaser og netværksforbindelser fra serveren, samt mulighed for at installere bagdøre, stjæle data eller bruge serveren som afsæt for angreb på andre systemer i virksomhedens netværk. Da angrebet ikke kræver login eller brugerinteraktion, kan det udføres automatisk mod alle sårbare installationer, der er tilgængelige fra internettet.

Sårbarheden har den højest mulige CVSS-score på 10 ud af 10 og er vurderet kritisk. Angrebet kan udføres over netværket, kræver ingen login eller rettigheder på forhånd, og der skal ingen bruger klikke på noget eller foretage sig noget. Kompleksiteten er lav, hvilket betyder, at angrebet er nemt at udføre for en, der kender fejlen. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der er ikke oplyst aktiv udnyttelse på offentliggørelsestidspunktet, men fejlens enkelhed og alvor betyder, at den må forventes udnyttet hurtigt, når den bliver kendt bredt.

Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.

1. Opdatér vm2 til version 3.12.1 eller nyere i alle jeres applikationer og servere.
2. Undersøg jeres kodebase for brug af vm2 og NodeVM, og find frem til hvor konfigurationen bruger builtin:[‘*’] eller eksplicit child_process.
3. Kan I ikke opdatere med det samme, så fjern builtin:[‘*’] og eksplicit adgang til child_process fra NodeVM-konfigurationen som midlertidig løsning.
4. Gennemgå logs for uventede kald til child_process eller mistænkelig aktivitet på servere, der kører sandkassen.
5. Isolér sandkassemiljøet yderligere, for eksempel med containere med begrænsede rettigheder på systemniveau.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre om jeres systemer er ramt, eller hvis I finder tegn på misbrug.