CVE-2022-36067 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Node.js 沙盒逃逸漏洞。 💥 **后果**：攻击者可绕过隔离，直接在宿主机执行任意代码（RCE）。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-913**：设计缺陷导致沙盒保护失效。 🛡️ **缺陷点**：vm2 未能正确限制对 Node.js 内置模块的访问。
Q3影响谁？（版本/组件）
📦 **组件**：patriksimek 开发的 **vm2**。 ⚠️ **版本**：**3.9.11 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
👑 **权限**：获得远程代码执行权限。 📂 **数据**：可访问宿主机文件系统、网络资源及敏感数据。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**低**。 🔓 **条件**：无需认证（PR:N），攻击复杂度低（AC:L），无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
💣 **有 Exp**：GitHub 上已有现成 PoC。 🔗 链接：`CVE-2022-36067-vm2-POC-webapp` 和 `Exploit-For-CVE-2022-36067`。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 `package.json` 中 vm2 版本。 📉 **标准**：若版本 < 3.9.11，即存在风险。
Q8官方修了吗？（补丁/缓解）
🛠️ **已修复**：官方已发布补丁。 ✅ **建议**：升级至 **3.9.11 或更高版本**。
Q9没补丁咋办？（临时规避）
🚫 **临时规避**：若无法升级，**禁止**在 vm2 中运行不受信任的代码。 🔒 **隔离**：确保 vm2 运行在受限环境中，限制网络访问。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高**。 ⚡ **CVSS**：9.8（Critical）。立即升级，防止服务器被完全控制。