漏洞关键信息总结 1. 漏洞概述 HashGraph 的 JavaScript Custom Logic worker 目前使用 来执行用户提供的代码。这导致用户代码在与 相同的 Node.js 上下文中运行,赋予了用户代码对 、 、 以及原生模块(如 )的完全访问权限。相比之下,Python Custom Logic worker 已使用 Pyodide (WASM sandbox) 进行隔离,而 JS 端缺乏此隔离。 2. 影响范围 该漏洞允许攻击者通过以下向量进行逃逸和攻击: 环境变量泄露: 访问 (包含 JWT keys, Vault tokens)。 任意文件读取: 使用 或 。 进程访问: 通过 访问 Node.js 进程。 原型链逃逸: 通过 进行原型链逃逸。 3. 修复方案 沙盒隔离: 使用 Node.js 内置的 和 替换 。 代码生成禁用: 在沙盒配置中设置 以阻止构造函数链逃逸。 API 限制: 仅开放文档化的 API 表面 ( , , , , , , , , ),禁止访问 , , , 等 Node.js API。 超时控制: 设置每次执行 30 秒的超时限制。 零依赖: 仅使用 Node.js 内置的 模块,无需引入新依赖。 4. POC 代码 (测试逃逸向量)**