V VirtualBoxu je bila najdena ranljivost za nič dni

Pred kratkim ruski raziskovalec je objavil podrobnosti o ranljivosti nič dni v VirtualBoxu ki omogoča napadalcu, da zapusti navidezni stroj za izvajanje zlonamerne kode v gostiteljskem operacijskem sistemu.

Ruski raziskovalec Sergey Zelenyuk je odkril ranljivost za nič dni, ki neposredno vpliva na različico 5.2.20 Virtual Box, kot tudi prejšnje različice.

Ta ranljivost je bila odkrita omogočil napadalcu, da pobegne iz navideznega stroja (gostujoči operacijski sistem) in se premaknite na Ring 3, tako da boste od tam lahko uporabili obstoječe tehnike za stopnjevanje pravic in doseganje gostiteljskega operacijskega sistema (jedro ali ring 0).

Glede na začetne podrobnosti razkritja je težava prisotna v skupni kodni bazi programske opreme za virtualizacijo, ki je na voljo v vseh podprtih operacijskih sistemih.

O ranljivosti Zero-Day, zaznani v VirtualBoxu

Glede na besedilno datoteko, naloženo na GitHub, Raziskovalec s sedežem v Sankt Peterburgu Sergey Zelenyuk, je naletel na verigo napak, ki lahko dovolijo uhajanje zlonamerne kode iz navideznega stroja VirtualBox (gostujoči operacijski sistem) in deluje na osnovnem operacijskem sistemu (gostitelj).

Ko je zunaj VirtualBox VM, zlonamerna koda deluje v omejenem uporabniškem prostoru operacijskega sistema.

"Izkoriščanje je stoodstotno zanesljivo," je dejal Zelenyuk. "Pomeni, da vedno ali nikoli deluje zaradi neusklajenih binarnih datotek ali drugih bolj subtilnih razlogov, ki jih nisem upošteval."

Ruski raziskovalec pravi, da zero-day vpliva na vse trenutne različice VirtualBox-a, deluje ne glede na gostiteljski ali gostujoči OS da uporabnik deluje in mu zaupajo privzete nastavitve na novo ustvarjenih navideznih strojev.

Sergey Zelenyuk je v popolnem nestrinjanju z Oraclovim odzivom na njihov program nagrajevanja za hrošče in trenutno trženje ranljivosti objavil tudi video posnetek s PoC, ki prikazuje 0-dnevni ukrep proti virtualnemu stroju Ubuntu, ki deluje v VirtualBoxu v gostiteljskem OS tudi iz Ubuntuja.

Zelenyuk prikazuje podrobnosti o tem, kako je mogoče hrošč izkoristiti na konfiguriranih navideznih strojih z omrežnim vmesnikom "Intel PRO / 1000 MT Desktop (82540EM)" v načinu NAT. To je privzeta nastavitev za vse gostujoče sisteme za dostop do zunanjih omrežij.

Kako deluje ranljivost

Glede na tehnični vodnik Zelenyuk omrežni vmesnik je ranljiv in omogoča napadalcu s korenskim privilegijem / skrbnikom, da pobegne v gostiteljski obroč 3. Nato lahko napadalec z uporabo obstoječih tehnik stopnjuje privilegije Ring - prek / dev / vboxdrv.

»Namizje [Intel PRO / 1000 MT (82540EM)] ima ranljivost, ki omogoča napadalcu s skrbniškimi / korenskimi pravicami gosta, da pobegne v gostiteljski obroč3. Nato lahko napadalec z obstoječimi tehnikami poveča privilegije za klicanje 0 prek / dev / vboxdrv, «opisuje Zelenyuk v svoji beli knjigi v torek.

Zelenjuk pravi, da je pomemben vidik razumevanja, kako deluje ranljivost, razumevanje, da se ročaji obdelajo pred deskriptorji podatkov.

Raziskovalec podrobno opisuje mehanizme za varnostno napako in prikazuje, kako sprožiti pogoje, potrebne za prelivanje medpomnilnika, ki bi ga lahko zlorabili, da bi se izognili omejitvam navideznega operacijskega sistema.

Najprej je povzročil celovito stanje podcenjevanja z uporabo deskriptorjev paketov - podatkovnih segmentov, ki omrežnemu vmesniku omogočajo sledenje omrežnih paketnih podatkov v sistemskem pomnilniku.

To stanje je bilo izkoriščeno za branje podatkov iz gostujočega operacijskega sistema v medpomnilnik kupa in povzročilo stanje prelivanja, ki bi lahko povzročilo prepisovanje kazalcev na funkcije; ali da povzroči stanje prelivanja sklada.

Strokovnjak predlaga, da uporabniki težavo ublažijo tako, da mrežno kartico v svojih navideznih strojih spremenijo v AMD PCnet ali paravirtualiziran omrežni vmesnik ali pa se izognejo uporabi NAT.

“Dokler popravljena gradnja VirtualBox ne izide, lahko omrežno kartico svojih navideznih računalnikov spremenite v PCnet (bodisi eno) bodisi Paravirtualizirano omrežje.