Troben una vulnerabilitat zero-day a VirtualBox

Dia zero

fa poc un investigador rus va donar a conèixer els detalls d'una vulnerabilitat zero-day a VirtualBox que permet a un atacant sortir de la màquina virtual per executar codi maliciós en el sistema operatiu amfitrió.

L'investigador rus Sergey Zelenyuk, va descobrir una vulnerabilitat zero-day que afecta directament la versió 5.2.20 de Virtual Box, Així com també a les versions anteriors.

Aquesta vulnerabilitat detectada permetria a un atacant escapar de la màquina virtual (Sistema operatiu convidat) i passar a l'Ring 3, perquè des d'aquí pugui fer ús de tècniques existents per escalar privilegis i arribar a el sistema operatiu amfitrió (nucli o ring 0).

D'acord amb els detalls inicials de la divulgació, el problema està present en una base de codi compartit de programari de virtualització, disponible en tots els sistemes operatius compatibles.

Sobre la vulnerabilitat Zero-Day detectada en VirtualBox

D'acord amb un arxiu de text carregat en GitHub, L'investigador Sergey Zelenyuk, amb seu a Sant Petersburg, va trobar una cadena d'errors que poden permetre que el codi maliciós fuita de la màquina virtual VirtualBox (El sistema operatiu convidat) i s'executi en el sistema operatiu subjacent (host).

Un cop fora de la VM VirtualBox, el codi maliciós s'executa en l'espai d'usuari limitat de el sistema operatiu.

«L'exploit és 100% fiable», va dir Zelenyuk. «Vol dir que funciona sempre o mai causa de binaris no coincidents o altres raons més subtils que no vaig tenir en compte».

L'investigador rus diu que el zero-day afecta totes les versions actuals de VirtualBox, funciona independentment de l'amfitrió o sistema operatiu convidat que l'usuari estigui executant, i és fiable contra la configuració per defecte de les màquines virtuals acabades de crear.

Sergey Zelenyuk, en total desacord amb la resposta d'Oracle en el seu programa de bug bounty i amb el «mercadeig» actual de vulnerabilitats, ha publicat també un vídeo amb la PoC que mostra el 0-day en acció contra una màquina virtual d'Ubuntu que s'executa dins de VirtualBox en un sistema operatiu amfitrió també d'Ubuntu.

Zelenyuk mostra detalls de com l'error es pot aprofitar en màquines virtuals configurades amb l'adaptador de xarxa «Intel PRO / 1000 MT d'escriptori (82540EM)» en la manera NAT. És la configuració per defecte de tots els sistemes convidats per accedir a xarxes externes.

Com funciona la vulnerabilitat

D'acord amb la guia tècnica feta per Zelenyuk, l'adaptador de xarxa és vulnerable, el que permet a un atacant amb arrel de privilegi / admin d'escapament per a albergar anell març. A continuació, utilitzant les tècniques existents, l'atacant pot escalar privilegis de Ring - amb l '/ dev / vboxdrv.

«El [Intel PRO / 1000 MT Desktop (82540EM)] té una vulnerabilitat que permet que un atacant amb privilegis d'administrador / root en un convidat s'escapi a un anell host3. Després, l'atacant pot utilitzar les tècniques existents per augmentar els privilegis per trucar a l'0 mitjançant / dev / vboxdrv, »descriu Zelenyuk en el seu article tècnic dimarts.

Zelenyuk diu que un aspecte important per entendre com funciona la vulnerabilitat és entendre que els descriptors de context es processen abans que els descriptors de dades.

L'investigador descriu els mecanismes darrere de la falla de seguretat en detall, mostrant com activar les condicions necessàries per obtenir un desbordament de memòria intermèdia que podria abusar per escapar dels confinaments de sistema operatiu virtual.

Primer, va provocar una condició de subdesbordamiento d'enters utilitzant descriptors de paquets: segments de dades que permeten l'adaptador de xarxa rastrejar les dades de paquets de xarxa en la memòria de sistema.

Aquest estat es va aprofitar per llegir les dades de sistema operatiu convidat en un memòria intermèdia d'emmagatzematge dinàmic i provocar una condició de desbordament que podria portar a sobreescriure els punters de la funció; o per causar una condició de desbordament de pila.

L'expert suggereix que els usuaris mitiguin el problema canviant la targeta de xarxa en les seves màquines virtuals a AMD PCnet o un adaptador de xarxa paravirtualitzat o evitant l'ús de NAT.

"Fins que la construcció de VirtualBox apedaçada estigui fora, pot canviar la targeta de xarxa de les seves màquines virtuals a PCnet (qualsevol de les dues) o Xarxa Paravirtualizada.


2 comentaris, deixa el teu

Deixa el teu comentari

La seva adreça de correu electrònic no es publicarà. Els camps obligatoris estan marcats amb *

*

*

  1. Responsable de les dades: Miguel Ángel Gatón
  2. Finalitat de les dades: Controlar l'SPAM, gestió de comentaris.
  3. Legitimació: El teu consentiment
  4. Comunicació de les dades: No es comunicaran les dades a tercers excepte per obligació legal.
  5. Emmagatzematge de les dades: Base de dades allotjada en Occentus Networks (UE)
  6. Drets: En qualsevol moment pots limitar, recuperar i esborrar la teva informació.

  1.   mvr1981 va dir

    Massa avançat i tècnic per al meu cervell ... amb prou feines entenc quarta part de la terminologia que fa servir.

  2.   Guillermo va dir

    Bé, el problema principal és que molts amb linux fan servir VirtualBox per tenir un Windows, i resulta que Windows 7 no té driver per les targetes que l'expert aconsella posar, i pitjor encara, si busques el controlador de PCnet per internet, apareix un que si ho analitzes amb VirusTotal o qualsevol altra et surten 29 positius de virus, veuràs com algú l'instal.