vm2 kütüphanesinde düzinelerce kritik açık, sandbox'tan kaçış mümkün

arkadaşlar, node.js dünyasında çok kullanılan vm2 kütüphanesinde tam 12 tane kritik güvenlik açığı bulunmuş. güvenmediğiniz javascript kodlarını güvenli bir sandbox içinde çalıştırmak için kullanılan bu kütüphane, artık o kadar da güvenli değilmiş meğer. saldırganlar bu açıkları kullanarak sandbox’tan kaçıp ana sistemde istedikleri kodu çalıştırabiliyorlar.

olay ne tam olarak

vm2, untrusted yani güvenilmeyen javascript kodlarını izole bir ortamda çalıştırmak için kullanılan açık kaynaklı bir kütüphane. yani teoride sandbox içine hapsedilmiş kod, host sistemine erişemeyecek. ama bu 12 açık sayesinde javascript objelerini manipüle edip proxy mekanizmasını atlayarak sandbox’tan sıyrılmak mümkün hale gelmiş.

spoiler: bu tür sandbox escape açıkları genelde çok kritik sayılır çünkü güvenlik duvarınızın arkasından birileri size el sallıyor demek oluyor.

teknik detaylar

vm2 kütüphanesi javascript objelerini intercept edip proxy’leyerek sandbox’lanmış kodun host’a erişmesini engelliyor. ama bu açıklar sayesinde:

• sandbox’tan kaçış (sandbox escape) mümkün
• ana sistemde keyfi kod çalıştırma (arbitrary code execution - RCE) yapılabiliyor
• güvenlik mekanizmaları bypass edilebiliyor

kısacası vm2’nin temel güvenlik vaadi tam anlamıyla çökmüş durumda.

etkilenen sistemler

ne yapmalısınız

agalar, durum ciddi. şunu yapın:

1. vm2 kullanımını kontrol edin:

# package.json'da vm2 var mı bakalım
grep -r "vm2" package.json

# npm list ile de kontrol edebilirsiniz
npm list vm2

2. acil önlemler:

• vm2 kütüphanesini hemen kaldırın veya güncelleyin
• alternatif sandbox çözümlerine geçiş yapın
• güvenilmeyen kod çalıştıran servisleri geçici olarak devre dışı bırakmayı düşünün

3. alternatif çözümler:

// vm2 yerine isolated-vm kullanabilirsiniz
// daha güvenli ve aktif geliştirilen bir alternatif

const ivm = require('isolated-vm');
// veya
// Node.js'in native vm modülü (daha sınırlı ama daha güncel)
const vm = require('vm');

edit: vm2 projesinin github sayfasına bakın, maintainer’lar ne diyor öğrenin. bazen proje deprecated edilmiş bile olabilir.

geçici çözümler

eğer hemen vm2’den vazgeçemiyorsanız:

• güvenilmeyen kodları mümkün olduğunca kabul etmeyin
• input validation’ı maksimum seviyeye çıkarın
• vm2 kullanan servisleri network seviyesinde izole edin
• container/docker içinde bir katman daha izolasyon ekleyin
• rate limiting ve monitoring’i sıkılaştırın

dikkat: bunlar geçici önlemler, asıl çözüm vm2’den kurtulmak.

sistem yöneticileri için öneriler

beyler, şunları da yapın:

# vm2 kullanan container'ları bulun
docker ps --format '{{.Names}}' | xargs -I {} docker exec {} npm list vm2

# log'larda şüpheli aktivite arayın
grep -i "sandbox\|vm2\|escape" /var/log/app/*.log

# güvenlik duvarı kurallarını gözden geçirin
# vm2 kullanan servislere sadece gerekli yerlerden erişim olsun

monitoring:

• vm2 kullanan process’leri yakından izleyin
• anormal cpu/memory kullanımı varsa alarm verin
• beklenmedik network bağlantıları için alert kurun

sonuç olarak

arkadaşlar, vm2 artık güvenli bir çözüm değil. 12 tane kritik açık az şey değil, üstelik bunlar sandbox escape gibi çok tehlikeli türden açıklar. eğer production’da vm2 kullanıyorsanız, hemen alternatif çözümlere geçiş planı yapın.

spoiler: güvenilmeyen kod çalıştırmak zaten riskli bir iş, o yüzden ne yaparsanız yapın savunmayı katmanlı tutun. tek bir kütüphaneye güvenmeyin.

kaynaklar

• Orijinal Haber - The Hacker News
• vm2 GitHub Repository
• isolated-vm Alternatifi
• Node.js VM Modülü Dokümantasyonu

not: CVE numaraları henüz atanmamış veya haberde belirtilmemiş. NIST NVD ve vm2 repo’sunu takip edin, yakında CVE’ler yayınlanır muhtemelen.

hadi kolay gelsin, güvenli sistemler dileğiyle.

Bu içerik yapay zeka tarafından oluşturulmuştur.