vm2沙箱库12连杀漏洞：三个满分CVE掀起腥风血雨

导语：这事儿吧，得从两边儿看——红队选手们估计已经在摩拳擦掌急着复现漏洞了，而蓝队兄弟则是连夜升级。不过说实话，这次 vm2 的漏洞，有点离谱。

一、事件概述

vm2 是 Node.js 生态里大名鼎鼎的沙箱库，专治那些”我要运行别人提交的代码”的场景。程序员们用它来隔离不受信任的脚本，防止恶意代码摸到系统底层。

但最近，安全研究人员给 vm2 来了一次彻底的”解剖”——一口气提交了 12 个安全报告，其中三个直接拿下 CVSS 10.0 满分，这是什么概念？这意味着这些漏洞在严重性评分表里已经是天花板级别了。

具体来看这三个满分漏洞：

CVE-2026-47137——逻辑绕过。vm2 在 nodevm.js 里对 require 选项加了一道严格相等检查（=== false），但问题是你不传这个参数时值是 undefined，严格相等直接跳过。攻击者只需要不传 require，再利用 nesting: true 创建个不受限的子沙箱，就能直接跑系统命令了。

CVE-2026-47210——WebAssembly JSPI 逃逸。利用 WebAssembly 的 JSPI 模式和 Promise 机制，让宿主的 TypeError 构造函数泄露进攻击者可控的代码路径，从而拿到 process 对象执行任意命令。

CVE-2026-47140——拒绝列表绕过。process 模块和 inspector/promises 模块压根没被禁，攻击者可以调用 process.getBuiltinModule 重新加载被拉黑的 child_process，或者通过 Inspector 协议直接在宿主进程里跑 JS 代码。

受影响范围：vm2 所有版本直到 3.11.3，使用 Node.js 26 的系统尤其危险。

二、技术剖析：这三个满分漏洞是怎么实现的

2.1 CVE-2026-47137：检查时和使用时的”时空错位”

这个漏洞的本质是个经典的 TOCTOU（Time-of-check to Time-of-use）变体，只不过体现在参数校验上。

开发者在 3.11.3 之前的某个版本意识到：如果同时开启 nesting: true（允许创建子沙箱）但把 require 关掉（require: false），沙箱里的代码可以 require('vm2') 拿到库本身，然后构造一个配置更宽松的子沙箱实现完全逃逸。

所以作者在 nodevm.js 第 263 行加了一道关卡：

if (options.nesting === true && options.require === false) {
    throw new VMError('...');
}

但问题来了——=== false 太严格。只有在用户显式传入 require: false 时条件才成立。如果用户根本不传 require 选项，options.require 的值是 undefined，而 undefined === false 是 false，检查直接跳过。

然后第 280 行有个解构赋值的默认值：

const { require: requireOpts = false } = options;

运行时 requireOpts 被赋值为 false，行为等同于 require: false，但安全检查已经被绕了。

攻击代码长这样：

const nvm = new NodeVM({ nesting: true }); // 不传 require，绕过检查
nvm.run(`
    const { NodeVM } = require('vm2');
    const inner = new NodeVM({
        require: { builtin: ['child_process'] }
    });
    module.exports = inner.run(
        "module.exports = require('child_process').execSync('id').toString()"
    );
`);

内层 NodeVM 的配置完全独立于外层，没有任何”继承父沙箱限制”的机制。一旦你能控制内层沙箱配置，你就能给它任意权限。

2.2 CVE-2026-47210：WebAssembly JSPI 和 Promise 的”联姻”

这个漏洞利用了 WebAssembly JSPI（JavaScript Promise Integration）模式和 Promise 的 .finally() 方法。

攻击链是这样的：JSPI 支持的 Promise 从宿主进程创建，当这个 Promise 被 reject 时，产生的 TypeError 对象会流经攻击者可控的”物种构造函数”（species constructor）链条。通过精心构造的代码，攻击者能让 TypeError 的构造函数链指向宿主进程的构造函数，从而获取对 process 对象的引用。

说人话就是：攻击者找到了沙箱边界上的一个缝隙，让沙箱里的代码”窥视”到了宿主进程的对象体系，然后顺着这条线爬到了系统命令执行。