Nul-dags sårbarhed fundet i VirtualBox

Zero Day

nylig en russisk forsker frigav detaljerne om en nul-dags sårbarhed i VirtualBox der gør det muligt for en hacker at forlade den virtuelle maskine for at udføre ondsindet kode på værtsoperativsystemet.

Den russiske forsker Sergey Zelenyuk opdagede en nul-dags sårbarhed, der direkte påvirker version 5.2.20 af Virtual Boxsamt tidligere versioner.

Denne sårbarhed blev fundet ville give en hacker mulighed for at undslippe den virtuelle maskine (gæst ​​operativsystem) og gå til Ring 3, så derfra kan du bruge eksisterende teknikker til at eskalere privilegier og nå værtsoperativsystemet (kerne eller ring 0).

Ifølge de indledende detaljer i afsløringen er problemet til stede i en delt kodebase af virtualiseringssoftwaren, der er tilgængelig på alle understøttede operativsystemer.

Om Zero-Day-sårbarheden, der er fundet i VirtualBox

Ifølge en tekstfil uploadet til GitHub, Sankt Petersborg-baserede forsker Sergey Zelenyuk, stødte på en kæde af fejl, der kan tillade, at ondsindet kode slipper væk fra den virtuelle VirtualBox-maskine (gæsteoperativsystemet) og kører på det underliggende operativsystem (vært).

En gang uden for VirtualBox VM kører den ondsindede kode i det begrænsede brugerrum i operativsystemet.

"Udnyttelsen er 100% pålidelig," sagde Zelenyuk. "Det betyder, at det altid eller aldrig fungerer på grund af uoverensstemmende binære filer eller andre mere subtile årsager, som jeg ikke tog i betragtning."

Den russiske forsker siger zero-day påvirker alle aktuelle versioner af VirtualBox, det fungerer uanset vært eller gæst OS at brugeren kører og har tillid til standardindstillingerne for nyoprettede virtuelle maskiner.

Sergey Zelenyuk, i total uenighed med Oracles svar på deres bug bounty-program og nuværende sårbarhed "marketing", har også sendt en video med PoC, der viser 0-dages aktion mod en virtuel Ubuntu-maskine, der kører inde i VirtualBox på et værts-OS også fra Ubuntu.

Zelenyuk viser detaljer om, hvordan fejlen kan udnyttes på konfigurerede virtuelle maskiner med "Intel PRO / 1000 MT Desktop (82540EM)" netværksadapter i NAT-tilstand. Det er standardindstillingen for alle gæstesystemer at få adgang til eksterne netværk.

Sådan fungerer sårbarheden

Ifølge den tekniske vejledning lavet af Zelenyuk, netværksadapteren er sårbar, så en hacker med root-privilegium / admin kan flygte til værtsring 3. Derefter kan angriberen ved hjælp af eksisterende teknikker eskalere Ring-privilegier - via / dev / vboxdrv.

«[Intel PRO / 1000 MT Desktop (82540EM)] har en sårbarhed, der gør det muligt for en hacker med administrator / root-rettigheder på en gæst at flygte til en værtsring3. Derefter kan angriberen bruge eksisterende teknikker til at øge privilegierne til at ringe til 0 via / dev / vboxdrv, ”beskriver Zelenyuk i sin hvidbog tirsdag.

zelenyuk siger et vigtigt aspekt ved at forstå, hvordan sårbarheden fungerer, er at forstå, at håndtag behandles før datadeskriptorer.

Forskeren beskriver mekanismerne bag sikkerhedsfejlen detaljeret og viser, hvordan man udløser de nødvendige betingelser for at få et bufferoverløb, der kan misbruges for at undslippe det virtuelle operativsystems indeslutning.

For det første forårsagede det et heltal underflow-tilstand ved hjælp af pakkebeskrivere - datasegmenter, der gør det muligt for netværksadapteren at spore netværkspakkedata i systemhukommelsen.

Denne tilstand blev udnyttet til at læse data fra gæsteoperativsystemet i en bunkebuffer og forårsage en overløbstilstand, der kunne føre til, at funktionspegere blev overskrevet; eller for at forårsage en stackoverløbstilstand.

Eksperten foreslår, at brugerne mildner problemet ved at ændre netværkskortet i deres virtuelle maskiner til AMD PCnet eller en paravirtualiseret netværksadapter eller ved at undgå brugen af ​​NAT.

”Indtil den patchede VirtualBox-build er ude, kan du ændre dine virtuelle maskines netværkskort til PCnet (enten et) eller Paravirtualized Network.


2 kommentarer, lad dine

Efterlad din kommentar

Din e-mailadresse vil ikke blive offentliggjort. Obligatoriske felter er markeret med *

*

*

  1. Ansvarlig for dataene: Miguel Ángel Gatón
  2. Formålet med dataene: Control SPAM, management af kommentarer.
  3. Legitimering: Dit samtykke
  4. Kommunikation af dataene: Dataene vil ikke blive kommunikeret til tredjemand, undtagen ved juridisk forpligtelse.
  5. Datalagring: Database hostet af Occentus Networks (EU)
  6. Rettigheder: Du kan til enhver tid begrænse, gendanne og slette dine oplysninger.

  1.   mvr1981 sagde han

    For avanceret og teknisk for min hjerne ... Jeg forstår knap en fjerdedel af den terminologi, den bruger.

  2.   Bill sagde han

    Nå, det største problem er, at mange med Linux bruger VirtualBox til at have en Windows, og det viser sig, at Windows 7 ikke har en driver til de kort, som eksperten anbefaler at lægge, og endnu værre, hvis du leder efter PCnet-driveren online ser man ud til, at hvis du analyserer det med virustotal eller andre, får du 29 viruspositive, vil du se, hvordan nogen installerer det.