注：Liferay は、Liferay Experience
Could オファリングの名称を次のように変更しました。 Liferay SaaS(旧 LXC) と
Liferay PaaS(旧 LXC-SM)となりました。
問題
- 顧客として、脆弱性「CVE-2023-29017 : Critical RCE vulnerability in VM2 Sandbox library」によるリスクを軽減すべきです。
説明：あるセキュリティ研究者が、NPMパッケージリポジトリを通じて毎月1600万回以上ダウンロードされているJavaScriptサンドボックスライブラリ「vm2」に重大なリモートコード実行の脆弱性があることを報告した。 VM2ライブラリは、Node.js、統合開発環境（IDE）やコードエディタ、FaaS（Function-as-a-Service）ソリューション、ペンテストフレームワーク、セキュリティツール、JavaScript関連の各種製品上で、信頼できないコードを隔離された環境で実行するために使用される。
この脆弱性は、リモートから悪用される可能性があり、攻撃の複雑性も低いため、CVSSシステムで最高のスコアである10と評価されている。 処理されない非同期エラーの場合に `Error.prepareStackTrace` に渡されるホストオブジェクトの不適切な処理による脆弱性が存在する。
この脆弱性の悪用に成功すると、リモートの攻撃者がサンドボックスの保護をバイパスして、ハイパーバイザーホストまたはサンドボックスを実行しているホスト上でリモートコード実行権を獲得し、サンドボックスをホストしているマシン上でシェルコマンドを実行し、不正なアクションを実行する可能性があります。
VM2のバージョン3.9.14以前がこの脆弱性の影響を受けます。
環境
- Liferay PaaS
- Liferay SaaS
- クラウド
- Liferay DXP 7.0+
解像度
- Liferay DXP、Liferay Cloud、Liferay PaaS、Liferay SaaSはVM2ライブラリを使用していない（インストールしていない）ため、脆弱性はありません。 この問題は彼らには影響しない。
追加情報
-
本製品とともに配布されるサードパーティ製ソフトウェアの一覧です。
https://www.liferay.com/en/downloads/third-party-software