はじめに：`vm2`の深刻な脆弱性

日本のフロントエンドエンジニアの皆さん、こんにちは。今回は、Node.js環境で広く利用されているサンドボックスライブラリ`vm2`に発見された、極めて深刻な脆弱性（ID: GHSA-947f-4v7f-x2v8 / CVE: CVE-2026-43999）について解説します。この脆弱性は「Critical」と評価されており、サンドボックスの隔離が完全に迂回され、ホスト環境で任意のコードが実行される（RCE: Remote Code Execution）可能性があります。

フロントエンド開発においても、Node.jsはビルドツール、開発サーバー、サーバーサイドレンダリング（SSR）環境など、様々な場面で深く関わっています。もし皆さんのプロジェクトで`vm2`、特に`NodeVM`を使用している場合、この情報は他人事ではありません。即座に内容を確認し、適切な対策を講じる必要があります。

脆弱性の詳細：なぜ隔離が破られるのか？

`vm2`は、信頼できないコードを隔離された環境で実行するためのNode.jsサンドボックスです。通常、組み込みモジュール（Node.jsの標準モジュール）へのアクセスを制限することで安全性を保ちます。しかし、今回の脆弱性は、特定の`require.builtin`オプションの設定ミスを悪用するものです。

問題は、`NodeVM`の`require.builtin`オプションで`['*', '-child_process']`のようにワイルドカード`*`を使い、「すべてのモジュールを許可し、特定の危険なモジュール（例: `child_process`）を除外する」設定をしている場合に発生します。この設定下では、Node.jsの内部モジュールである`module`が意図せずサンドボックス内に公開されてしまいます。

この`module`モジュールは、`Module._load`というネイティブなモジュール読み込み機能を提供します。攻撃者はこの機能を利用することで、`vm2`が設定した許可リストの制限を完全に迂回し、本来サンドボックスから除外されているはずの`child_process`などの危険なモジュールをホスト環境でロードすることが可能になります。一度`child_process`がロードされれば、`child_process.execSync('任意のコマンド')`などを通じて、ホストシステム上で任意のコマンドが実行されてしまいます。

`vm2`は`module`モジュールに対して「読み取り専用プロキシ」を適用していますが、これはオブジェクトのプロパティ変更を防ぐものであり、メソッドの呼び出しはホスト環境に直接転送されてしまいます。この特性が悪用され、サンドボックス内で実行された`require('module')._load('child_process')`というコードが、ホストOS上で直接`child_process`をロードし、結果的にRCEへと繋がるのです。

影響を受ける条件を確認しよう

ご自身のプロジェクトが以下の条件に当てはまるか確認してください。

1. `vm2`ライブラリの`NodeVM`を使用していること。

2. `require.builtin`オプションで、`module`モジュールがサンドボックスに許可されている場合。具体的には、`['*']`、または`['*', '-child_process']`のようにワイルドカード`*`を使用し、かつ`module`が明示的に除外されていない設定が該当します。

3. サンドボックス内に悪意のあるコード（ユーザーが投稿するスクリプト、外部プラグイン、信頼できない依存関係など）が投入される可能性がある場合、攻撃が成立します。攻撃の複雑度は低く、特別な前提条件は不要です。

具体的な脅威：リモートコード実行 (RCE)

この脆弱性が悪用された場合、攻撃者はサンドボックス内のコードからホストシステム上で任意のコマンドを実行できるようになります。これは以下のような甚大な影響を及ぼします。

- <b>データの機密性侵害</b>: サーバー内の設定ファイル、データベース接続情報、APIキーなど、機密性の高い情報が窃取される可能性があります。 - <b>データの完全性侵害</b>: データベースの破壊、ウェブサイトの改ざんなど、データの整合性が損なわれる可能性があります。 - <b>システムの可用性侵害</b>: サーバーの停止、マルウェアのインストール、他のシステムへの攻撃の踏み台にされる可能性があります。 - <b>組み込みモジュール許可リストの完全な迂回</b>: `module`モジュールが許可されている限り、明示的に除外されたモジュールを含む、あらゆる組み込みモジュールがロード可能になります。

今すぐ取るべき対策

この脆弱性は非常に危険であるため、<b>最優先で以下のいずれかの対応を実施してください。</b>

1. <b>`module`モジュールを完全に禁止する（推奨）</b><br> `module`モジュールはホストのモジュールローディング機能への無制限なアクセスを提供するため、サンドボックスに公開すべきではありません。`require.builtin`オプションを使用している場合は、`module`を明示的に除外するか、許可するモジュールをホワイトリスト形式で厳密に列挙し、`module`を含めないようにしてください。例: `require.builtin: ['fs', 'path', 'url']`

2. <b>`vm2`の最新修正版へのアップデート</b><br> この脆弱性に対する修正がリリースされている場合は、速やかに`vm2`を最新の修正版にアップデートすることが最もシンプルで確実な対策です。`npm update vm2`や`yarn upgrade vm2`を実行し、バージョンアップを適用してください。

※ もし`module`モジュールへのアクセスがどうしても必要な場合は、vm2内部で`_load`のような危険なAPIを公開しない、サンドボックスセーフなカスタムラッパーを実装する代替案も考えられますが、これは高度な知識を要し、既存のコードを破壊する可能性があるため、強く推奨されません。

まとめ

`vm2`のこの脆弱性は、サンドボックスの根本的な目的である「隔離」を完全に無効化してしまう非常に危険なものです。フロントエンドエンジニアの皆さんにとって、Node.js環境のセキュリティはバックエンドだけでなく、開発プロセス全体の安全性に直結します。

ご自身のプロジェクトで`vm2`を使用している場合は、直ちに対象の条件に当てはまるか確認し、速やかに上記いずれかの対策を実施してください。セキュリティは常に最新の情報をキャッチアップし、積極的に対応していくことが重要です。