Se detecta una vulnerabilidad crítica en isolated‑vm

Un equipo de investigadores ha anunciado la existencia de una vulnerabilidad en isolated‑vm, una biblioteca de sandboxing muy utilizada en proyectos de Node.js. La falla, catalogada bajo el identificador GHSA‑864f‑rcv7‑6rh4, permite que código JavaScript ejecutado dentro del sandbox escape al host, abriendo la puerta a una posible ejecución remota de código (RCE).

Alcance y versiones afectadas

  • La vulnerabilidad afecta todas las versiones de isolated‑vm publicadas hasta la 7.0.0 inclusive.
  • La biblioteca cuenta con más de 2.900 estrellas y 190 forks en GitHub, lo que indica una amplia adopción en la comunidad.
  • Hasta la fecha no se ha asignado un número CVE oficial.

"Los investigadores describen la vulnerabilidad como 'crítica'" – The Hacker News

Riesgos potenciales

Si un atacante logra inyectar código JavaScript malicioso dentro del sandbox, podría romper el aislamiento y ejecutar instrucciones en el sistema operativo del host, comprometiendo datos y servicios críticos.

Recomendaciones

  • Actualizar a la versión más reciente del proyecto (posterior a la 7.0.0) tan pronto como esté disponible.
  • Revisar los logs de ejecución en busca de comportamientos anómalos que indiquen intentos de escape.
  • Aplicar principios de defensa en profundidad, limitando los privilegios del proceso que ejecuta el sandbox.

Cobertura de detección en DefensOps

  • Plan mínimo: Essential
  • Cobertura: Motor de correlación genérica que detecta patrones de comportamiento asociados a escapes de sandbox y ejecución inesperada de código.

¿Estás cubierto en DefensOps?

Nuestro motor de correlación incluye reglas específicas para identificar intentos de evasión de entornos aislados como isolated‑vm, alineado con el plan Essential. No se requieren técnicas MITRE adicionales para este caso.

Solicita una demo o consulta nuestra página de precios para conocer el plan que mejor se adapta a tu organización.

Fuente: The Hacker News – Isolated‑vm Flaw Lets Sandboxed JavaScript Escape to Host for Potential RCE