「vm2」の脆弱性 CVE-2026-44005: コードインジェクション

どんな危険があるか

Node.jsのサンドボックスライブラリvm2のバージョン3.9.6から3.10.5に、サンドボックスエスケープの脆弱性が存在します。攻撃者はサンドボックス内で実行されるJavaScriptから、ホスト環境のObject.prototype、Array.prototype、Function.prototypeといった共有プロトタイプを改ざんできます。これにより、サンドボックスの隔離が破られ、ホストシステム上で任意のコードが実行される危険性があります。

今すぐやること

vm2ライブラリを使用している開発者は、速やかにバージョン3.11.0以上にアップデートしてください。このバージョンで脆弱性が修正されています。アップデートが適用できない場合は、vm2の利用を再検討するか、サンドボックスで実行されるコードの信頼性を厳しく評価する必要があります。