Cybersecurity araştırmacıları, GitHub'da 2.900'den fazla yıldız ve 190'den fazla fork ile popüler bir açık kaynaklı sandbox olan isolated-vm'de bir güvenlik açığı keşfettiler. Bu açıklık, saldırganların izole edilmiş ortamın dışına çıkmasına ve potansiyel olarak uzaktan kod çalıştırmasına izin veriyor.
Açıklık (GHSA-864f-rcv7-6rh4), henüz bir CVE kimliği atanmamış, kütüphanenin 7.0.0 dahil olmak üzere tüm sürümlerini etkiliyor. Bu güvenlik açığı, bu ayın başlarında yayınlanan 6.2.0 ve 7.0.1 sürümlerinde düzeltildi.
Isolated-vm, V8 Isolate içinde güvenilmeyen JavaScript kodu çalıştırmak için kullanılan bir Node.js kütüphanesidir. Bu, bağımsız bir Google V8 JavaScript motoru örneği olup, birden fazla sandboxlu JavaScript ortamının eşzamanlı olarak çalışmasına ve birbirleriyle veri paylaşmadan veya birbirlerini etkilemeden çalışmasına olanak tanır. npm paketi, geçen hafta yaklaşık 1 milyon indirme gördü.
Endor Labs tarafından tanımlanan güvenlik açığı, ExternalCopy adlı bir sınıfta bulunuyor. Bu sınıf, ana Node.js işlemeden güvenle JavaScript nesnelerini seri hâle getirerek konuk izole edilmiş ortama seri hâle getirerek güvenli bir şekilde aktarmak için kullanılıyor.
Endor Labs araştırmacısı Cristian-Alexandru Staicu, güvenlik açığını keşfetti ve raporladı. Staicu, yazdığı teknik yazısında, "ExternalCopy'nin transferList seçeneğinin işlenmesinde bir tür karıştırma, sandbox içinde çalışan kodu, ana işlemdeki belleği bozmaya izin veriyor" dedi.
