vm2沙箱逃逸漏洞(CVE-2026-100721)

一、漏洞技术信息

漏洞类型：授权机制不正确（CWE-863），属于沙箱逃逸漏洞，可导致远程代码执行（RCE）。

影响产品及版本：受影响产品为 Vm2 虚拟化软件，受影响版本为 3.12.2 之前版本。

攻击场景：攻击者可通过构造恶意脚本，利用 external-module 解析器的正则表达式边界缺陷，绕过模块白名单限制，加载非允许模块并在宿主进程中执行代码。

在野利用情况：尚未观察到在野利用（In-the-Wild: False），但漏洞利用可能性评级为“高”（Exploit Possibility: High），需警惕潜在威胁。

威胁团伙：未明确关联已知威胁团伙（Threat Actor: None）。

二、安全活动事件分析

事件一：2026年9月27日，Vm2 Project 官方仓库提交修复补丁（Commit 6ac3916），修复 external-module 解析器边界检查缺陷。

事件二：2026年9月28日，漏洞情报平台收录该漏洞并标记为“极危”，CVSS v3评分达9.0，提示需紧急处置。

三、技术分析和建议

分析：漏洞核心为 lib/resolver-compat.js 中 LegacyResolver.customResolve 的逻辑缺陷。当 Embedder 启用 require.external 且 context: 'host' 时，攻击者可通过构造共享前缀的非允许模块路径（如 ../../modules/foo2/index.js），绕过 isPathAllowedForModule 检查，导致沙箱逃逸。此漏洞可被用于窃取宿主进程敏感数据、植入持久化后门或横向渗透。

四、建议措施

紧急升级：立即升级至 Vm2 3.12.2 或更高版本，并重新构建部署。

临时缓解：1.禁用 require.external 配置或限制白名单模块。2.在网关/WAF层拦截异常模块解析请求（如包含 ../../ 或非常规路径结构）。3.降低Vm2进程权限，隔离文件系统、网络访问及子进程调用。

检测与监控：1.审计日志中异常模块加载行为（如 hostRequire 调用非白名单路径）。2.使用依赖扫描工具（如Snyk、Dependabot）排查依赖树中的旧版本Vm2。

五、结论概述

综合分析表明，Vm2 沙箱逃逸漏洞（CVE-2026-100721）因模块解析逻辑缺陷导致宿主进程代码执行，风险等级极高（CVSS 9.0）。尽管暂未发现公开利用，但其高利用可能性与关键基础设施的潜在关联（如云环境、容器服务）需优先修复。建议结合版本升级与运行时防护，全面降低攻击面。