Code Injection in vm2-project (CVE-2026-24781, CVSS 9.8)

Summary

code injection in vm2-project (CVE-2026-24781). Successful exploitation can lead to full system takeover. Exploitable via inspect.

Original description

The description as published by the source.

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, VM2 suffers from a sandbox breakout vulnerability through the inspect function. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.0.

Source: NIST National Vulnerability Database NVD

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

This vulnerability impacts vm2, a sandbox for Node.js. Attackers can exploit a flaw allowing them to break out of the sandbox and execute unintended code on the server. This has been fixed in the latest version. Such attacks could cause significant problems for a company's system, so updating to the latest version is strongly recommended.

A vulnerability is identified in the inspect function of vm2, allowing sandbox breakout in Node.js environments. This issue exists in versions <= 3.10.3 and is fixed in 3.11.0. Specifically, it involves proxy unwrapping to access sandbox internal objects, enabling arbitrary code execution on the host. As per the PoC, attackers can modify files on the system. Upgrading to 3.11.0 is necessary to mitigate this. Monitoring access logs using grep or SIEM is recommended.

❓ What is the problem

Node.js用の仮想マシン/サンドボックスであるvm2に存在するinspect関数を介したサンドボックス突破脆弱性。

📍 Affected scope

主にvm2のinspect関数を通じて発生する。影響を受けるバージョンは<= 3.10.3で、3.11.0で修正済み。

🔥 Severity

critical (CVSSスコア9.8)。リモートでの攻撃が可能で、認証もユーザー操作も不要。

🔧 How to fix

vm2の3.11.0にアップグレードする。

🛡️ Workaround

素材から特定できず。可能であれば、vm2のアップグレードが最善の策。

🔍 Detection

アクセスログをgrepまたはSIEMで監視し、異常なプロセスの生成を検知する。

Related past incidents Similar incidents extracted from past CVEs

CVE-2023-1370

Node.jsのVMモジュールのサンドボックス突破に関する同様の既存の脆弱性。

CVE-2024-0890

Node.jsにおいてRCEを許す別のサンドボックス突破脆弱性。

Heartbleed

Heartbleedは同様に影響力のある脆弱性で、攻撃者がシステム内部の情報にアクセスできた事例。

If this happens at your company Expected impact per business scenario

📌 ECサイトの場面

攻撃者がサーバー上で任意の操作を実行し、顧客の個人情報を流出させる可能性があります。

📌 社内システムの場面

重要な業務システムが攻撃されることで、業務中断やデータの改ざんが発生するリスクがあります。

📌 SaaSアプリケーションの場面

サービスの利用者に対して予期しないダウンタイムやデータ損失が発生し、ブランドイメージの低下につながる可能性があります。

Recommended action

迅速にvm2をバージョン3.11.0にアップグレードし、異常な活動を監視するためのモニタリング体制を整えるべきです。

Response actions

Concrete steps and command examples for SOC/SRE teams to execute in order

1
Identify exposure identify
```
grep -r 'vm2-project' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で vm2-project を grep し、稼働しているサービス・バージョンを把握する。
2
Match against affected range verify
```
Confirm if version satisfies `<= 3.10.3`
```
Step 1 で見つかったバージョンが影響範囲 <= 3.10.3 に該当するか照合。本番で稼働中ならインシデント扱い。
7
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

Code Injection in vm2-project (CVE-2026-24781)