Thêm hai lỗ hổng trên sandbox VM2 - Chuyện gì đang xảy ra?

[WhiteHat Team]

Sức nóng của 3 lỗ hổng nghiêm trọng trên sandbox VM2 được công bố hồi tháng 4 còn chưa hạ nhiệt thì mới đây, tin không vui khác lại xuất hiện.​

Sandbox VM2 được sử dụng để chạy mã JavaScript không tin cậy trong môi trường cô lập trên Node.js. Với gần 16 triệu lượt tải xuống hằng tháng, VM2 hoạt động như một thành trì bảo vệ cho nhiều phần mềm và ngăn chặn truy cập trái phép vào tài nguyên hệ thống hoặc dữ liệu bên ngoài.

Có lẽ việc VM2 phổ biến kéo theo sự xuất hiện thêm của 2 lỗ hổng là CVE-2023-32314 và CVE-2023-32313. Nếu bị khai thác, lỗ hổng có thể cho phép tin tặc vượt qua các giải pháp an ninh, sửa đổi console.log và thực thi mã tùy ý.

CVE-2023-32314: Lỗ hổng thoát khỏi sandbox​

Lỗ hổng có điểm CVSS 9,8, ảnh hưởng các phiên bản VM2 từ 3.9.17 trở xuống và tồn tại do tạo đối tượng máy chủ không mong muốn dựa trên proxy.

Về bản chất, CVE-2023-32314 có thể cho phép kẻ tấn công vượt qua các giải pháp an ninh và giành quyền thực thi mã từ xa trên máy chủ chạy sandbox.

Lỗ hổng đã được giải quyết trong phiên bản 3.9.18 để ngăn chặn các hành vi khai thác trong tương lai và không có cách giải quyết nào khác ngoài việc cập nhật bản vá.

CVE-2023-32313: Lỗ hổng gian lận thao tác "inspect"​

Lỗ hổng thứ hai có điểm CVSS 5,3 cho phép kẻ xấu can thiệp vào việc kiểm tra inspect, từ đó giành quyền đọc và ghi vào phương thức inspect của Node.js và thay đổi các tùy chọn cho console.log.

Mặc dù không gây nhiều rủi ro như lỗ hổng thoát khỏi hộp cát nhưng nó cũng không hoàn toàn vô hại. Việc thay đổi các tùy chọn của console.log có thể được sử dụng cho các hoạt động độc hại như sửa đổi file log, tạo ra thông báo lỗi đánh lạc hướng hoặc thậm chí che giấu hành vi của kẻ tấn công.

Lỗ hổng CVE-2023-32313 đã được giải quyết trong phiên bản 3.9.18. Đối với người dùng chưa cập nhật ngay lập tức, có một phương án tạm thời là làm cho phương thức inspect chỉ có thể đọc sau khi tạo một VM. Điều này có thể được thực hiện bằng cách sử dụng lệnh: `vm.readonly(inspect)`.

Phát hành mã khai thác (PoC)​

Sau khi phiên bản VM2 đã được vá lỗi, mã khai thác cho cả CVE-2023-32314 và CVE-2023-32313 đã được công bố trên GitHub.

Dù các lỗ hổng trong VM2 đang nối tiếp nhau tạo ra những rủi ro, bên phát triển và các chuyên gia an ninh mạng đã phản ứng nhanh chóng để đảm bảo người dùng có thể tiếp tục tin tưởng thư viện sandbox JavaScript VM2.

Tuy nhiên, sự cố này vẫn như một lời nhắc nhở về tầm quan trọng của việc cập nhật bản vá thường xuyên và cảnh giác liên tục trong lĩnh vực an ninh mạng.

Theo Security Online​