دور جدیدی از وصله‌ها برای کتابخانه جاوا اسکریپت vm2 در دسترس قرار گرفته است تا دو نقص مهم را برطرف کند که می‌توان از آن‌ها برای خارج شدن از حفاظت‌های جعبه ایمنی و دستیابی به اجرای کد سوء استفاده کرد.
هر دو نقص – CVE-2023-29199 و CVE-2023-30547 – در سیستم امتیازدهی CVSS دارای امتیاز ۹٫۸ از ۱۰ هستند و به ترتیب در نسخه های ۳٫۹٫۱۶ و ۳٫۹٫۱۷ برطرف شده اند.
بهره‌برداری موفقیت‌آمیز از باگ‌ها، که به مهاجم اجازه می‌دهد تا یک استثنای میزبان غیرعفونی‌شده را ایجاد کند، می‌تواند برای فرار از جعبه شنی و اجرای کد دلخواه در زمینه میزبان به سلاح تبدیل شود.
نگهبانان کتابخانه vm2 در هشداری گفتند: «یک عامل تهدید می‌تواند حفاظت‌های sandbox را دور بزند تا حقوق اجرای کد از راه دور را در میزبانی که sandbox را اجرا می‌کند، به دست آورد».
سئونگ هیون لی، محقق امنیتی، با کشف و گزارش این آسیب‌پذیری‌ها اعتبار دارد، او همچنین بهره‌برداری‌های اثبات مفهوم (PoC) را برای دو موضوع مورد بحث منتشر کرده است.
این افشاگری کمی بیش از یک هفته پس از رفع نقص دیگری از جعبه سندباکس (CVE-2023-29017، امتیاز CVSS: 9.8) توسط vm2 صورت می‌گیرد که می‌تواند منجر به اجرای کد دلخواه در سیستم اصلی شود.
شایان ذکر است که محققان Oxeye یک آسیب‌پذیری حیاتی اجرای کد از راه دور در vm2 را در اواخر سال گذشته شرح دادند (CVE-2022-36067، امتیاز CVSS: 9.8) که با نام رمز Sandbreak شناخته شد.
