vm2 Node.js 라이브러리 취약점, 샌드박스 탈출 및 임의 코드 실행 가능하게 해

핵심 요약

vm2 Node.js 라이브러리에서 12개의 치명적인 보안 취약점이 공개되어, 악의적인 행위자가 샌드박스를 탈출하고 취약한 시스템에서 임의 코드를 실행할 수 있게 되었습니다. 이 취약점들은 vm2가 신뢰할 수 없는 JavaScript 코드를 안전하게 격리하기 위해 사용하는 샌드박스 메커니즘을 우회하여, 호스트 시스템에 대한 접근을 허용하는 방식으로 작동합니다. 이는 MITRE ATT&CK의 T1611 (Escape to Host) 전술과 같이 가상화 또는 컨테이너 환경을 벗어나 호스트에 접근하는 공격 기법에 해당합니다. IT 감사인은 이러한 오픈 소스 라이브러리 사용 현황을 파악하고, 최신 보안 패치 적용 여부 및 샌드박스 환경의 무결성 검증 절차를 감사하여 잠재적인 임의 코드 실행 리스크를 관리해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직 내 모든 Node.js 기반 애플리케이션에서 vm2 라이브러리 사용 여부를 즉시 확인하고, 사용 중인 경우 최신 보안 패치 버전으로 업데이트할 것을 권고함.
• ✔기술적 조치vm2 라이브러리를 사용하는 시스템에 대해 샌드박스 격리 메커니즘의 무결성을 재검토하고, 추가적인 보안 제어(예: 최소 권한 원칙 적용, 네트워크 분리)를 강화할 것을 권고함.
• ✔관리적 조치오픈 소스 소프트웨어(OSS) 사용에 대한 보안 정책을 수립하고, SBOM(Software Bill of Materials)을 구축하여 사용 중인 모든 OSS 컴포넌트의 취약점을 지속적으로 모니터링하고 관리하는 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 오픈 소스 라이브러리 보안 취약점 및 샌드박스 탈출 공격 기법에 대한 정기적인 보안 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문