פגיעות חמורה בספריית isolated-vm מאפשרת בריחה מהסנדבוקס להרצת קוד

חוקרים מחברת Endor Labs חשפו פגיעות חמורה בספריית isolated-vm — ספריית Node.js נפוצה שמיועדת להריץ קוד JavaScript לא מהימן בסביבה מבודדת. הפגיעות מאפשרת לקוד שרץ בתוך הסנדבוקס לפרוץ ממנו ולהשתלט על התהליך המארח, מה שהופך את הבידוד עצמו לחסר משמעות. הספריה מורדת כמעט מיליון פעמים בשבוע מ-npm, ומשמשת גם ככלי בסיס בכמה ממסגרות אוטומציית הסוכנים החכמים (AI agent) הפופולריות כיום.

מה קרה

החוקר Cristian-Alexandru Staicu מ-Endor Labs איתר בלבול טיפוסים (type confusion) באופן שבו הרכיב ExternalCopy מטפל באפשרות transferList בעת העברת אובייקטים בין הסנדבוקס לתהליך המארח. באמצעות הפגם, קוד שרץ בתוך הסנדבוקס — כלומר קוד שאמור להיות לא מהימן ומבודד — יכול לשבש את הזיכרון של התהליך המארח. החוקרים הראו שניתן לקחת את הפגם צעד אחד קדימה, מקריסה מבוקרת ועד לחטיפת זרימת הריצה של התהליך המארח, כלומר הרצת קוד מרחוק בפועל על השרת שמריץ את הסנדבוקס.

המשמעות המעשית חמורה במיוחד לאור השימוש הנפוץ בספריה: היא מהווה רכיב ליבה או תלות אופציונלית בכמה ממסגרות אוטומציה וסוכני בינה מלאכותית בקוד פתוח, שבהן היא אמורה לשמש בדיוק כדי להריץ קוד שנוצר או סופק על ידי משתמשים וסוכנים חיצוניים בביטחה. פגיעות שמפילה את הבידוד הזה פוגעת ישירות במודל האבטחה שהמערכות הללו נשענות עליו.

נקודות לשים לב

• עדכנו את isolated-vm לגרסה 6.2.0 או 7.0.1 (או מאוחר יותר) בכל פרויקט שמשתמש בה, ישירות או כתלות של ספרייה אחרת.
• בדקו את package-lock.json, yarn.lock או pnpm-lock.yaml בפרויקטי Node.js שלכם עבור isolated-vm כתלות עקיפה — היא נכללת בכמה ממסגרות אוטומציה וסוכני AI בקוד פתוח, ולא תמיד תופיע כתלות ישירה.
• אם אתם מפעילים שירות שמריץ קוד לא מהימן שסופק על ידי משתמשים (כולל קוד שנוצר על ידי סוכן בינה מלאכותית) — הפגיעות הזו רלוונטית לכם ישירות, שכן היא פוגעת בדיוק בתרחיש שהסנדבוקס נועד להגן עליו.
• אין כרגע ציון CVSS רשמי או מספר CVE, כך שכלי סריקת פגיעויות אוטומטיים מבוססי CVE עלולים לפספס את הבעיה — הסתמכו על מזהה ה-GHSA ועל עדכון גרסת החבילה ישירות.

מקורות: The Hacker News · SecurityWeek