JVNDB-2026-016088

vm2 projectのvm2におけるアクセス制御に関する脆弱性

vm2はNode.js向けのオープンソースのVMおよびサンドボックスです。バージョン3.11.1以前では、NodeVMがnesting:trueの設定で作成されると、サンドボックス内のコードは外側のVMのrequire設定（require:falseを含む）に関係なく無条件にrequire('vm2')を実行できます。vm2にアクセスできることにより、サンドボックスは独自の制限なしのrequire設定を持つ新しい内部NodeVMを構築し、ホスト上で任意のOSコマンドを実行することが可能です。nesting:trueでNodeVM内に信頼されていないコードを実行するアプリケーションは完全に危殆化します。この脆弱性はバージョン3.11.1で修正されました。

vm2 project

• vm2 3.11.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : nesting: true bypasses require: false, allowing sandbox escape to arbitrary OS command execution  Advisory  patriksimek/vm2  GitHub

Openwall

• Openwall mailing list archives : oss-security - vm2: sandbox escape in NodeVM with nesting:true (CVE-2026-44007)

1. 不適切なアクセス制御(CWE-284) [その他]

1. CVE-2026-44007

1. National Vulnerability Database (NVD) : CVE-2026-44007

• [2026年05月18日]
    掲載