10 nieuwe kwetsbaarheden ontdekt in VM Virtualbox

Oracle heeft een patch uitgebracht om tien kwetsbaarheden in VirtualBox op te lossen waarmee aanvallers kunnen ontsnappen aan 'gast'-besturingssystemen en het host-besturingssysteem kunnen aanvallen waarop VirtualBox draait.

VM VirtualBox lost uw serieuze beveiligingsproblemen op

Exploits die gebruik maken van deze methode, die bekend staat als "ontsnapping van virtuele machines", waren na hun bekendmaking in 2015 het onderwerp van grote belangstelling van beveiligingsexperts.

De kwetsbaarheden worden gepubliceerd als; CVE-2018-2676, CVE-2018-2685, CVE-2018-2686, CVE-2018-2687, CVE-2018-2688, CVE-2018-2689, CVE-2018-2690, CVE-2018-2693, CVE- 2018-2694 en CVE-2018-2698 . Hoewel ze allemaal hetzelfde effect hebben, verschilt de methode - en daarmee het gemak waarmee aanvallers de kwetsbaarheid kunnen misbruiken - per type.

Iedereen die VirtualBox gebruikt, is potentieel kwetsbaar voor de hierboven genoemde CVE's, hoewel sommige van de gerapporteerde kwetsbaarheden specifiek zijn voor de besturingssystemen die op de host worden uitgevoerd. Nieuw uitgebrachte patches zijn beschikbaar in de nieuwste versie (5.2.6) en de oude versie (5.1.32).

De ontwikkelaars van deze applicatie raden aan dat alle gebruikers die code - onbetrouwbaar - uitvoeren op gast-VM's, de applicatie dringend updaten.

Hoewel VirtualBox een populaire toepassing voor algemeen gebruik is, wordt het meestal gebruikt voor desktopvirtualisatie. Vergeleken met andere apps heeft de Oracle-applicatie uitgebreidere en betrouwbaardere ondersteuning voor niet-veelgebruikte gastbesturingssystemen, zoals OS / 2 of Haiku. Ondersteuning voor de VirtualBox-gastcontroller wordt ook geïntegreerd in de Linux-kernel, te beginnen met versie 4.16.

Ze kunnen vanuit dezelfde applicatie worden bijgewerkt.

Bron