vm2 におけるサンドボックス脱出の脆弱性

Node.js 用ライブラリ vm2 の NodeVM において、サンドボックスを脱出可能になる脆弱性が発見された。この脆弱性は、ホストシステムへのアクセスを制限するための拒否リスト（DANGEROUS_BUILTINS）に、コマンド実行を可能にする `child_process` モジュールが含まれていなかったことに起因する。これにより、すべての組み込みモジュールを許可する設定（builtin:['*']）などを使用している場合、サンドボックス内からホストの権限で任意のコマンドを実行できる。概念実証コード（PoC）も公開されており、悪用が極めて容易である。