Misuse of `Reference` and other transferable APIs may lead to access to nodejs isolate
Versions of isolated-vm before v4.0.0, and especially before v3.0.0, have API pitfalls which may make it easy for implementers to expose supposed secure isolates to the permissions of the main nodejs isolate.
Reference objects allow access to the underlying reference's full prototype chain. In an environment where the implementer has exposed a Reference instance to an attacker they would be able to use it to acquire a Reference to the nodejs context's Function object.
Similar application-specific attacks could be possible by modifying the local prototype of other API objects.
Access to NativeModule objects could allow an attacker to load and run native code from anywhere on the filesystem. If combined with, for example, a file upload API this would allow for arbitrary code execution.
To address these issues the following changes were made in v4.0.0:
- Documentation was updated with more explicit guidelines on building secure applications.
Referenceinstances will no longer follow prototype chains by default, nor will they invoke accessors or proxies.- All
isolated-vmAPI prototypes are now immutable. NativeModuleconstructor may only be invoked from a nodejs isolate.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | isolated-vm | < 4.0.0 | 4.0.0 |
Verweise
- https://github.com/laverdet/isolated-vm/security/advisories/GHSA-mmhj-4w6j-76h7
- https://nvd.nist.gov/vuln/detail/CVE-2021-21413
- https://github.com/laverdet/isolated-vm/commit/2646e6c1558bac66285daeab54c7d490ed332b15
- https://github.com/laverdet/isolated-vm/commit/27151bfecc260e96714443613880e3b2e6596704
- https://github.com/laverdet/isolated-vm/blob/main/CHANGELOG.md#v400
- CVSS-Vektor
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N- Schwäche (CWE)
CWE-913- Plattform
- npm
- Paket
isolated-vm- Veröffentlicht
- 06.04.2021
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-mmhj-4w6j-76h7 - CC BY 4.0
Schwachstellenhistorie: isolated-vm
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 2
- Erste → letzte
- 04.2021 09.2022
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 1
- Hoch 1
Veröffentlichungen pro Jahr
- 2021: 1
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Misuse of `Reference` and other transferable APIs may lead to access to nodejs isolate dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.