CVE-2021-21413 Uso indebido de Reference y otras API transferibles en isolated-vm

Qué es CVE-2021-21413

Las versiones de isolated-vm anteriores a la v4.0.0 presentan fallas de API que pueden exponer aislamientos supuestamente seguros a los permisos del aislamiento principal de nodejs. Si un implementador expone una instancia de Reference a un atacante, este podría obtener una referencia al objeto Function del contexto de nodejs y, con acceso a objetos NativeModule, cargar y ejecutar código nativo desde el sistema de archivos, lo que combinado con una API de carga de archivos permitiría ejecución remota de código…

Productos y versiones afectadas

• laverdet isolated-vm

  • < 4.0.0

Qué hacer

1. Verificá si usás isolated-vm y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• sm1ee/CVE-2021-21413 ↗CVE-2021-21413 isotaled-vm Sandbox Escape PoCPUBLICADO 14 OCT · 04:53

Calculadora CVSS

CVSS 3.1 · 8.0 ALTA

CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red adyacente

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

isolated-vm is a library for nodejs which gives you access to v8's Isolate interface. Versions of isolated-vm before v4.0.0 have API pitfalls which may make it easy for implementers to expose supposed secure isolates to the permissions of the main nodejs isolate. Reference objects allow access to the underlying reference's full prototype chain. In an environment where the implementer has exposed a Reference instance to an attacker they would be able to use it to acquire a Reference to the nodejs context's Function object. Similar application-specific attacks could be possible by modifying the local prototype of other API objects. Access to NativeModule objects could allow an attacker to load and run native code from anywhere on the filesystem. If combined with, for example, a file upload API this would allow for arbitrary code execution. This is addressed in v4.0.0 through a series of related changes.

Referencias

• github.com/laverdet/isolated-vm/security/advisories/GHSA-mmhj-4w6j-76h7X_REFSOURCE_CONFIRM
• github.com/laverdet/isolated-vm/commit/2646e6c1558bac66285daeab54c7d490ed332b15X_REFSOURCE_MISC
• github.com/laverdet/isolated-vm/commit/27151bfecc260e96714443613880e3b2e6596704X_REFSOURCE_MISC
• github.com/laverdet/isolated-vm/blob/main/CHANGELOG.md#v400X_REFSOURCE_MISC

Historial de la alerta

1. 14 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio sm1ee/CVE-2021-21413.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.