SK-CERT Bezpečnostné varovanie V20260507-01

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

Node.js knižnica VM2 – dvanásť kritických bezpečnostných zraniteľností

Popis

Vývojári Node.js knižnice VM2 vydali bezpečnostnú aktualizáciu svojho produktu, ktorá opravuje dvanásť kritických bezpečnostných zraniteľností. Kritická bezpečnostná zraniteľnosť s identifikátorom spočíva v nesprávnom spracovávaní WebAssembly výnimiek a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom špeciálne vytvorenej Symbol-to-string konverzie uniknúť zo sandboxového prostredia a vykonať škodlivý kód na hoste s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Predmetnú zraniteľnosť je možné zneužiť len na inštanciách s aktívnym WebAssembly Exception Handling a JSTag Support. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, uniknúť zo sandboxového prostredia a vykonať škodlivý kód. Na uvedené zraniteľnosti je v súčasnosti voľne dostupný Proof-of-Concept kód.

Dátum prvého zverejnenia varovania

7.5.2026

CVE

CVE-2026-24118, CVE-2026-24120, CVE-2026-24781, CVE-2026-26332, CVE-2026-26956, CVE-2026-43997, CVE-2026-43999, CVE-2026-44005, CVE-2026-44006, CVE-2026-44007, CVE-2026-44008, CVE-2026-44009

IOC

–

Zasiahnuté systémy

vm2 Presnú špecifikáciu jednotlivých zasiahnutých produktov nájdete na odkazoch v sekcii ZDROJE

Následky

Vykonanie škodlivého kódu Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Odporúčame uistiť sa, či Vaše aplikácie nevyužívajú frameworky, knižnice, pluginy, SDK alebo moduly v zraniteľnej verzii. V prípade, že áno, zabezpečte aktualizáciu všetkých komponentov, od ktorých závisí vaša aplikácia, na aktuálne verzie bez známych bezpečnostných zraniteľností. Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.

Zdroje

https://github.com/patriksimek/vm2/security/advisories/GHSA-vwrp-x96c-mhwq https://github.com/patriksimek/vm2/security/advisories/GHSA-9vg3-4rfj-wgcm https://github.com/patriksimek/vm2/security/advisories/GHSA-9qj6-qjgg-37qq https://github.com/patriksimek/vm2/security/advisories/GHSA-47×8-96vw-5wg6 https://github.com/patriksimek/vm2/security/advisories/GHSA-ffh4-j6h5-pg66 https://github.com/patriksimek/vm2/security/advisories/GHSA-947f-4v7f-x2v8 https://github.com/patriksimek/vm2/security/advisories/GHSA-8hg8-63c5-gwmx https://github.com/patriksimek/vm2/security/advisories/GHSA-55hx-c926-fr95 https://github.com/patriksimek/vm2/security/advisories/GHSA-v37h-5mfm-c47c https://github.com/patriksimek/vm2/security/advisories/GHSA-grj5-jjm8-h35p https://github.com/patriksimek/vm2/security/advisories/GHSA-qvjj-29qf-hp7p https://github.com/patriksimek/vm2/security/advisories/GHSA-qcp4-v2jj-fjx8

« Späť na zoznam