Эксплоит в библиотеке VM2 позволяет хакеру обойти средства защиты Java

Исследователь безопасности выпустил PoC -эксплойт Побег из песочницы (Sandbox Escape), позволяющий выполнять вредоносный код на хосте, на котором запущена песочница VM2.

VM2 — это специализированная изолированная программная среда JavaScript, используемая для запуска и тестирования ненадежного кода в изолированной среде, что предотвращает доступ кода к системным ресурсам хоста или внешним данным.

За последние две недели в VM2 было обнаружено несколько критических уязвимостей выхода из песочницы, которые позволили злоумышленникам запускать вредоносный код вне ограничений изолированной среды.

Одна из них – CVE-2023-30547 (CVSS: 9,8) представляет собой уязвимость очистки исключения (exception sanitization), позволяющую киберпреступнику вызвать непроверенное исключение хоста внутри функции «handleException()».

Уязвимость, которая загружается почти 4 млн. раз в неделю и интегрирована в более 700 пакетов, может затронуть огромное количество разработчиков и приложений. Ошибка позволяет злоумышленнику обойти ограничения «песочницы» и выполнить произвольный код в контексте хоста, что позволяет проводить разрушительные атаки, в том числе, DoS-атаки.

Уязвимость была обнаружена аналитиком безопасности Сын Хён Ли (SeungHyun Lee) из Корейского передового института науки и технологий (KAIST). Ли обнаружил, что недостаток затрагивает все версии библиотек, начиная с 3.9.16 и ранее.

Исследователь также опубликовал PoC-эксплойт, чтобы продемонстрировать осуществимость атаки, которая создает на хосте файл с именем «pwned».

PoC-эксплоит

Всем пользователям, сопровождающим пакетов и разработчикам ПО, чьи проекты включают библиотеку VM2, рекомендуется как можно скорее обновиться до версии 3.9.17, в которой устранена уязвимость.

К сожалению, сложности цепочки поставок, затрагивающие большинство проектов открытого ПО, могут задержать обновление VM2 для затронутых инструментов. Из-за общедоступности PoC многие пользователи могут подвергаться риску в течение длительного времени.