@hoppscotch/cli 受 @hoppscotch/js-sandbox 中的 Sandbox Escape 影响导致 RCE (CVE-2024-34347)

CVE编号

CVE-2024-34347

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-08

漏洞描述

@hoppscotch/cli 是一个用于在CI环境中运行Hoppscotch测试脚本的CLI工具。在0.8.0版本之前，@hoppscotch/js-sandbox包提供了一个使用Node.js vm模块的Javascript沙盒。然而，vm模块并不适合用于沙盒化不受信任的Javascript代码。这是因为vm上下文中的代码如果能够获取到外部创建的任何对象的引用就可以突破沙盒。在@hoppscotch/js-sandbox的情况下，多个外部对象的引用被传递到vm上下文中，以允许预请求脚本与环境变量等进行交互。但这也使得预请求脚本能够逃逸沙盒。这个漏洞已在0.8.0版本中修复。

解决建议

"将组件 @hoppscotch/cli 升级至 0.8.0 及以上版本"

参考链接
https://github.com/hoppscotch/hoppscotch/commit/22c6eabd133195d22874250a5ae40...
https://github.com/hoppscotch/hoppscotch/security/advisories/GHSA-qmmm-73r2-f8xr

CVSS3评分 8.3

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com