KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-37466 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
vm2 是一个基于 Node.js 的沙箱环境，Promise 对象用来处理异步代码。CVE-2023-37466 中，由于 3.9.19 及之前版本Promise 处理程序的过滤机制可以被绕过，攻击者能绕过沙箱在主机上运行任意代码。该组件官方已停止维护，建议开发者更换为 isolated-vm。
影响范围
应用：vm2_project vm2（影响面 Up to (including) 3.9.19）
解决方案
该组件官方已停止维护，建议开发者更换为 isolated-vm。
参考信息
https://github.com/patriksimek/vm2/commit/d9a1fde8ec5a5a9c9e5a69bf91d703950859d744
https://github.com/patriksimek/vm2/releases/tag/v3.10.0
https://github.com/patriksimek/vm2/security/advisories/GHSA-cchq-frgv-rjh5
https://security.netapp.com/advisory/ntap-20241108-0002/
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。