Kritisk hull i isolated-vm lar sandkassen kapre vertsprosessen

Et kritisk hull i isolated-vm lar JavaScript som kjører inne i sandkassen korrumpere minnet i vertsprosessen, og i verste fall overta kontrollflyten der. Endor Labs fant feilen og rapporterte den, The Hacker News omtalte den denne uken, og GitHub-varselet GHSA-864f-rcv7-6rh4 rangerer alvorlighetsgraden som kritisk. Alle versjoner til og med 7.0.0 er berørt. Rettelsene kom 5. og 6. august, i henholdsvis 7.0.1 og 6.2.0, og ingen CVE er tildelt ennå.

isolated-vm er Node.js-biblioteket du griper etter når du vil kjøre kode du ikke stoler på. Hver V8 Isolate har egen tilstand og egen heap, så du kan ikke sende JavaScript-objekter rett fra hovedtråden inn i en gjest. Klassen ExternalCopy finnes nettopp for å serialisere objekter ut av vertens isolate og deserialisere dem inn i gjestens. Det er der feilen ligger.

«A type confusion in ExternalCopy's handling of the transferList option lets code running inside the sandbox corrupt memory in the host process» — Cristian-Alexandru Staicu, forsker i Endor Labs

Angrepet starter med en enkelt ivm.Reference, som er den helt vanlige måten en vert gir sandkassen en evne i det hele tatt. Derfra eskalerte Endor Labs fra et krasj på en kontrollert adresse til full kapring av vertens kontrollflyt. Vedlikeholderens eget varsel beskriver spennet i konsekvens like nøkternt: nedre grense er et pålitelig krasj enhver gjest med en referanse kan utløse.

«Maximum demonstrated impact is control-flow hijack of the host process, i.e., potential remote code execution in the host» — Marcel Laverdet, vedlikeholder av isolated-vm

Skalaen er poenget. Pakken ble lastet ned 992 716 ganger på npm i uken som endte 19. august, og repoet står med 2 894 stjerner. Bruksmønsteret gjør det verre: isolated-vm er limet i plugin-systemer, edge-runtimes og verktøykjøring for KI-agenter, altså nøyaktig de stedene der noen andres kode skal få lov til å kjøre. Bygger du en agent som eksekverer generert JavaScript, er sandkassen hele sikkerhetsmodellen din, og da er en typeforveksling i bindingslaget forskjellen på isolasjon og ingenting.

Staicu understreker samtidig at isolasjonsprimitivet holdt. V8s Isolate-grense sviktet ikke. Det som sviktet var C++-limet som flytter verdier over grensen, et bindingslag lagt rundt en byggekloss som i seg selv er solid. Endor Labs holder tilbake detaljene i den fulle exploiten for å hindre at andre bygger sin egen.

Hva bør du gjøre?

1. Kjør npm ls isolated-vm i alle prosjekter og oppgrader til 7.0.1, eller 6.2.0 hvis du sitter på 6-serien. Sjekk transitive avhengigheter, ikke bare de direkte.
2. Gå gjennom hvilke ivm.Reference-objekter du deler inn i sandkassen. Hver referanse er inngangen angrepet trenger, så gi gjesten bare det den faktisk må ha.
3. Legg et lag under sandkassen og anta at den ryker: kjør vertsprosessen med minst mulig rettigheter, i egen container eller mikro-VM, og uten legitimasjon liggende i miljøvariablene.