Nesen krievu pētnieks izlaida informāciju par nulles dienas ievainojamību VirtualBox kas ļauj uzbrucējam iziet no virtuālās mašīnas, lai resursdatora operētājsistēmā izpildītu ļaunprātīgu kodu.
Krievu pētnieks Sergejs Zeļeņuks atklāja nulles dienas ievainojamību, kas tieši ietekmē Virtual Box 5.2.20 versiju, kā arī iepriekšējās versijas.
Atklāta šī ievainojamība ļautu uzbrucējam aizbēgt no virtuālās mašīnas (viesu operētājsistēma) un pārejiet uz 3. gredzenu, lai no turienes jūs varētu izmantot esošās metodes, lai palielinātu privilēģijas un sasniegtu resursdatora operētājsistēmu (kodols vai gredzens 0).
Saskaņā ar atklāšanas sākotnējo informāciju problēma pastāv virtualizācijas programmatūras koplietojamā koda bāzē, kas ir pieejama visās atbalstītajās operētājsistēmās.
Par VirtualBox atklāto nulles dienas ievainojamību
Saskaņā ar teksta failu, kas augšupielādēts vietnē GitHub, Sanktpēterburgas pētnieks Sergejs Zeļeņuks, radās kļūdu ķēde, kas var ļaut ļaunprātīgam kodam izkļūt no VirtualBox virtuālās mašīnas (viesa operētājsistēma) un darbojas pamatā esošajā operētājsistēmā (resursdatorā).
Ļaunprātīgais kods, atrodoties ārpus VirtualBox VM, darbojas ierobežotā operētājsistēmas lietotāja telpā.
"Izmantošana ir 100% uzticama," sacīja Zeļenjuks. "Tas nozīmē, ka tas vienmēr vai nekad nedarbojas neatbilstošu bināru failu vai citu smalkāku iemeslu dēļ, kurus es neņemu vērā."
Krievu pētnieks saka, ka nulles diena ietekmē visas pašreizējās VirtualBox versijas, tā darbojas neatkarīgi no resursdatora vai viesa OS ka lietotājs darbojas un tiek uzticēts jaunizveidoto virtuālo mašīnu noklusējuma iestatījumiem.
Sergejs Zeļeņuks, pilnīgi nepiekrītot Oracle atbildei uz viņu kļūdu atalgojuma programmu un pašreizējo ievainojamības "mārketingu", ir arī ievietojis video ar PoC, kurā redzams, kā 0 dienas darbojas pret Ubuntu virtuālo mašīnu, kas darbojas VirtualBox iekšpusē resursdatora OS arī no Ubuntu.
Zeļenjuks parāda informāciju par to, kā kļūdu var izmantot konfigurētās virtuālajās mašīnās ar "Intel PRO / 1000 MT Desktop (82540EM)" tīkla adapteri NAT režīmā. Tas ir noklusējuma iestatījums visām viesu sistēmām, lai piekļūtu ārējiem tīkliem.
Kā darbojas ievainojamība
Saskaņā ar Zeļeņuka tehnisko ceļvedi, tīkla adapteris ir neaizsargāts, ļaujot uzbrucējam ar root tiesībām / administratoram aizbēgt uz 3. resursdatora gredzenu. Pēc tam, izmantojot esošās metodes, uzbrucējs var palielināt Ring privilēģijas - izmantojot / dev / vboxdrv.
“[Intel PRO / 1000 MT darbvirsmai (82540EM)] ir ievainojamība, kas ļauj uzbrucējam ar administratora / root viesa privilēģijām aizbēgt uz resursdatora zvanu3. Pēc tam uzbrucējs var izmantot esošos paņēmienus, lai palielinātu privilēģijas zvanīt uz 0 caur / dev / vboxdrv, ”savā otrdienas baltrakstā raksturo Zeļenjuks.
Zeļenjuks saka, ka svarīgs aspekts, lai saprastu, kā darbojas ievainojamība, ir saprast, ka rokturi tiek apstrādāti pirms datu aprakstiem.
Pētnieks detalizēti apraksta drošības trūkuma mehānismus, parādot, kā izraisīt apstākļus, kas nepieciešami, lai iegūtu bufera pārpildi, kuru varētu izmantot ļaunprātīgi, lai izvairītos no virtuālās operētājsistēmas ierobežojumiem.
Pirmkārt, tas izraisīja vesela skaitļa nepietiekamu plūsmas stāvokli, izmantojot pakešu aprakstus - datu segmentus, kas ļauj tīkla adapterim izsekot tīkla pakešdatus sistēmas atmiņā.
Šis stāvoklis tika izmantots, lai nolasītu datus no viesu operētājsistēmas kaudzes buferī un izraisītu pārpildes stāvokli, kas varētu izraisīt funkciju rādītāju pārrakstīšanu; vai izraisīt kaudzes pārpildes stāvokli.
Eksperts iesaka lietotājiem mazināt problēmu, mainot tīkla karti savās virtuālajās mašīnās uz AMD PCnet vai paravirtualizētu tīkla adapteri vai izvairoties no NAT izmantošanas.
“Kamēr nav izlabota labotā VirtualBox būve, varat mainīt savu virtuālo mašīnu tīkla karti uz PCnet (vai nu vienu) vai Paravirtualized Network.
Pārāk attīstīta un tehniska manām smadzenēm ... Es tikko saprotu ceturtdaļu tās izmantotās terminoloģijas.
Nu, galvenā problēma ir tā, ka daudzi, izmantojot Linux, izmanto VirtualBox, lai iegūtu Windows, un izrādās, ka Windows 7 nav draivera kartēm, kuras eksperts iesaka ievietot, un vēl sliktāk, ja meklējat PCnet draiveri tiešsaistē, šķiet, ka Ja jūs to analizēsit ar virustotal vai kādu citu, jūs saņemsiet 29 vīrusu pozitīvus rezultātus, jūs redzēsiet, kā kāds to instalēs.