Node.js v3.11.4 NodeVM Sandbox Escape Vulnerabilities Security Bulletin

漏洞概述 Node.js v3.11.4 版本发布，包含多个安全修复。主要修复了以下漏洞： 1. Bridge Set Trap Ignoring ECMA-262 9.9.5.9 Receiver：允许通过 和 写入泄漏到宿主对象（write-channel - RCE）。 2. Cross-Realm Symbol for Namespace Leak：桥接陷阱中缺少危险符号守卫，导致 启用沙箱安装的 流品牌/网络钩子在宿主对象上（RCE）。 3. Host Prototype Mutation via Function.prototype：通过 和 间接通过 设置器，切断宿主固有原型链并逃逸通过 原型链漏洞（RCE）。 4. Defense Invariant Violation in defaultSandboxPrepareStackTrace：第二种变体在另一个文件中， 覆盖可以观察桥接内部栈跟踪状态。 5. Promise Species Hijack in localPromise's Swallow-tail：劫持下游子构造函数以捕获 V8 的内部（resolve, reject）能力和原始宿主-真实错误 - host Function（RCE）。 6. NodeVM Constructor Patch Bypasses of GHSA-8bg8-63c5-gwmc：任何 嵌套与 产生 。 7. WebAssembly JSP (WebAssembly.promising / WebAssembly.Suspending)：Node 24+ 在标志后，Node 26+（默认）使用 Promise 对象与宿主-真实 链且无桥接插值；物种劫持交付原始宿主-真实拒绝到沙箱 。 8. NodeVM Builtin Denylist Bypass via process (whoGetBuiltinModule(name))：重新加载任何核心模块，无论 配置和 评估攻击者 JS 在宿主真实中。超越 GHSA-947i-4y7t-xv6。 9. NodeVM Builtin [::] Wildcard Exposing Node's Undocumented Underscored Network Builtins： , , , 即使在使用排除项时，也暴露了 SSRF 类能力绕过（CVSS 8.6）。 10. NodeVM builtin allowlist Surfacing Four Process-Wide Observability Builtins： , , , 读取整个宿主进程状态而非沙箱本地状态 - HTTP 头/异步上下文/性能标记/堆快照外泄。 影响范围 Node.js v3.11.4 版本 NodeVM 构造函数 WebAssembly 相关功能 Promise 对象 Bridge 相关功能 Inspector 和 Promises NodeVM Builtin Denylist NodeVM Builtin Wildcard Process-Wide Observability Builtins 修复方案 Bridge Set Trap Ignoring ECMA-262 9.9.5.9 Receiver：修复桥接陷阱，防止通过 和 写入泄漏到宿主对象。 Cross-Realm Symbol for Namespace Leak：添加危险符号守卫，防止 启用沙箱安装的 流品牌/网络钩子在宿主对象上。 Host Prototype Mutation via Function.prototype：修复 和 间接通过 设置器，切断宿主固有原型链并逃逸通过 原型链漏洞。 Defense Invariant Violation in defaultSandboxPrepareStackTrace：修复 覆盖，防止观察桥接内部栈跟踪状态。 Promise Species Hijack in localPromise's Swallow-tail：修复下游子构造函数，防止劫持 V8 的内部（resolve, reject）能力和原始宿主-真实错误。 NodeVM Constructor Patch Bypasses of GHSA-8bg8-63c5-gwmc：修复 。 WebAssembly JSP (WebAssembly.promising / WebAssembly.Suspending)：修复 Promise 对象与宿主-真实 链且无桥接插值，防止物种劫持交付原始宿主-真实拒绝到沙箱。 NodeVM Builtin Denylist Bypass via process (whoGetBuiltinModule(name))：修复重新加载任何核心模块，无论 配置和 评估攻击者 JS 在宿主真实中。 NodeVM Builtin Wildcard Exposing Node's Undocumented Underscored Network Builtins：修复 , , , 即使在使用排除项时，也暴露了 SSRF 类能力绕过。 NodeVM builtin allowlist Surfacing Four Process-Wide Observability Builtins：修复 , , , 读取整个宿主进程状态而非沙箱本地状态。 POC 代码 页面中未提供具体的 POC 代码。

目標達成すべての支援者に感謝 — 100%達成しました！

Node.js v3.11.4 NodeVM Sandbox Escape Vulnerabilities Security Bulletin

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Node.js v3.11.4 NodeVM Sandbox Escape Vulnerabilities Security Bulletin

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！