【安全漏洞公告】vm2沙箱逃逸漏洞（CVE-2023-29017）

一、漏洞简介

vm2是nodejs 实现的一个沙箱环境，一般用于测试不受信任的 JavaScript 代码。

vm2版本3.9.15之前，当发生异步错误时，vm2无法正确处理传递给“Error.prepareStackTrace”函数的宿主对象，成功利用该漏洞可绕过沙箱保护，并在运行沙箱的主机上远程执行代码。

二、影响范围

vm2版本：<= 3.9.14

三、解决措施

目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，最新版本下载链接如下：

https://github.com/patriksimek/vm2/releases

四、参考链接

https://github.com/patriksimek/vm2/security/advisories/GHSA-7jxr-cg7f-gpgv

https://github.com/patriksimek/vm2/issues/515

https://gist.github.com/seongil-wi/2a44e082001b959bfe304b62121fb76d