CVE-2022-36067

Description

vm2 is a sandbox that can run untrusted code with whitelisted Node's built-in modules. In versions prior to version 3.9.11, a threat actor can bypass the sandbox protections to gain remote code execution rights on the host running the sandbox. This vulnerability was patched in the release of version 3.9.11 of vm2. There are no known workarounds.

Gravité et risque d'exploitation

CVE-2022-36067 obtient un score CVSS de 10.0/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 47.87 %, ce qui la place devant 98.8 % des CVE référencées.

Que faire ?

• Vérifiez si vm2 (versions < 3.9.11) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://github.com/patriksimek/vm2/security/advisories/GHSA-mrgp-mrhc-5jrq
• https://github.com/patriksimek/vm2/issues/467
• https://github.com/patriksimek/vm2/commit/d9a7f3cc995d3d861e1380eafb886cb3c5e2b873#diff-b1a515a627d820118e76d0e323fe2f0589ed50a1eacb490f6c3278fe3698f164
• https://github.com/patriksimek/vm2/blob/master/lib/setup-sandbox.js#L71
• https://www.oxeye.io/blog/vm2-sandbreak-vulnerability-cve-2022-36067
• https://security.netapp.com/advisory/ntap-20221017-0002/