Vm2: Прорыв с инспектированием

@patriksimek Эта проблема исправлена ​​в мастере, однако исправление пришло с https://github.com/patriksimek/vm2/pull/242, который был после версии 3.8.4. Так что у mpn нет этого исправления.

Он остается открытым, пока не выйдет v3.8.5.

У нас есть расчетное время прибытия?

@ jan- osch Поскольку

@XmiliaH спасибо за ваш ответ и все ваши вклады!

Как вы думаете, такой исправленный обезьяной обходной путь предотвратит прорыв, пока у нас не будет опубликована обновленная версия?

const vm = new NodeVM({
  console: 'off',
  sandbox: {
    console: consoleInterface,
    setTimeout,
    print,

    // TODO remove once vm2 fixed the breakout issue
    // Reference: https://github.com/patriksimek/vm2/issues/268
    Buffer: {
      ...Buffer,
      prototype: new Proxy(Buffer.prototype, {
        get(object, property) {
          if (property === 'inspect') {
            return () => {
              console.log('[BREAKOUT_ATTEMPT]'); // eslint-disable-line no-console
              consoleInterface.error('Nice try! This breakout attempt will be reported');
            };
          }
          return object[property];
        },
      }),
    },
  },
  require: { // here define modules that can be required
    builtin: [
      // some list
    ],
    external: [
      //...
    ],
  },
});

return vm.run(code, SCRIPT_PATH);

@ jan-osch Это плохая идея:
1) Он забывает ключ [Symbol.for ("nodejs.util.inspect.custom")].
2) Позволяет писать в прототип буфера хоста.
3) Проблема в том, что console.log также вызовет эту проблему, и ваше решение ничего не делает против этого.

К сожалению, нет простого решения.

Вот временное, плохо протестированное хакерское исправление:

function hacky_fix(vm) {
    const internal = vm._internal;
    const old = internal.Decontextify.object;
    const handler = {__proto__: null};
    internal.Decontextify.object = (object, traps, deepTraps, flags, mock) => {
        const value = old(object, traps, deepTraps, flags, mock);
        const better = new Proxy(value, handler);
        internal.Decontextify.proxies.set(object, better);
        internal.Contextify.proxies.set(better, object);
        return better;
    };
}

Он исправляет внутренние функции, поэтому используйте его с осторожностью.

Спасибо @XmiliaH! Вы знаете какой-нибудь проект с набором тестов для таких нестандартных ситуаций? Я хотел бы добавить несколько тестов на прорыв в свой CI в качестве системы раннего предупреждения

У нас есть несколько тестов в test / vm.js. Просто ищите нападение, и вы найдете кейсы.

дружеское напоминание @patriksimek было бы

@mxschmitt Только что выпущенный как 3.9.0. Прошу прощения за задержку.