أعلن باحثو الأمن السيبراني عن اكتشاف 12 ثغرة أمنية حرجة في مكتبة vm2 الخاصة بـ Node.js، وهي مكتبة مفتوحة المصدر تُستخدم لتشغيل تعليمات JavaScript غير موثوقة داخل بيئة معزولة (Sandbox). هذه الثغرات تتيح للمهاجمين كسر العزل الأمني وتنفيذ تعليمات برمجية عشوائية على النظام المضيف، ما يشكل تهديدًا مباشرًا للتطبيقات التي تعتمد على vm2 لتأمين تشغيل الأكواد الخارجية.
أبرز الثغرات المكتشفة
- CVE-2026-24118 (CVSS 9.8): هروب من الصندوق
- CVE-2026-24120 (CVSS 9.8): تجاوز لترقيع سابق باستخدام خاصية species في كائنات Promise.
- CVE-2026-24781 (CVSS 9.8): استغلال دالة inspect للهروب من الصندوق.
- CVE-2026-26332 (CVSS 9.8): استغلال SuppressedError لتنفيذ تعليمات برمجية.
- CVE-2026-26956 (CVSS 9.8): فشل في آلية الحماية عبر خطأ TypeError ناتج عن تحويل الرموز.
- CVE-2026-43997 (CVSS 10.0): حقن تعليمات برمجية للحصول على كائن المضيف.
- CVE-2026-43999 (CVSS 9.9): تجاوز قائمة السماح في NodeVM وتحميل وحدات محظورة مثل child_process.
- CVE-2026-44005 (CVSS 10.0): هروب من الصندوق مع تلوث النماذج الأولية (Prototype Pollution).
- CVE-2026-44006 (CVSS 10.0): حقن عبر BaseHandler.getPrototypeOf لتنفيذ أوامر عن بُعد.
- CVE-2026-44007 (CVSS 9.1): ضعف في التحكم بالوصول يسمح بتنفيذ أوامر نظام التشغيل.
- CVE-2026-44008 (CVSS 9.8): استغلال neutralizeArraySpeciesBatch() للهروب من الصندوق.
- CVE-2026-44009 (CVSS 9.8): استغلال استثناء null proto لتنفيذ أوامر.
خطورة الثغرات
هذه الثغرات تُظهر التحدي الكبير في عزل الأكواد غير الموثوقة داخل بيئات JavaScript، حيث يمكن للمهاجمين استغلال ثغرات صغيرة في آليات العزل للوصول إلى النظام المضيف. بعض الثغرات حصلت على تقييم CVSS 10.0، ما يعكس خطورتها القصوى.
التوصيات الأمنية
- ينصح المستخدمون بتحديث مكتبة vm2 إلى الإصدار الأخير 3.11.2 الذي يحتوي على ترقيعات لهذه الثغرات.
- تجنب تشغيل أي كود غير موثوق دون مراجعة أو اختبار بيئة العزل بشكل صارم.
- مراقبة الأنظمة التي تعتمد على vm2 لرصد أي نشاط غير طبيعي قد يشير إلى استغلال الثغرات.
خلفية إضافية
يأتي هذا الكشف بعد أشهر قليلة من إصلاح ثغرة أخرى خطيرة في نفس المكتبة (CVE-2026-22709) التي سمحت أيضًا بالهروب من الصندوق وتنفيذ تعليمات برمجية عشوائية. وقد أقر مطور المكتبة Patrik Simek سابقًا بأن احتمالية ظهور تجاوزات جديدة ستظل قائمة مستقبلًا، نظرًا لتعقيد عملية عزل الأكواد في بيئات JavaScript.
