研究人员详细介绍了Oracle VirtualBox中报告的权限提升漏洞

影响Oracle VM VirtualBox的一个现已修补的漏洞可能会被对手利用，危害虚拟机监控程序并造成拒绝服务（DoS）情况。

“易受攻击的漏洞允许高权限攻击者登录到Oracle VM VirtualBox执行的基础结构，以危害Oracle VM VirtualBox，”该建议写道。“成功攻击此漏洞可能会导致未经授权的能力导致Oracle VM VirtualBox挂起或频繁重复崩溃（完全DoS）”

该缺陷被追踪为CVE-2021-2442（CVSS分数：6.0），影响6.1.24之前的所有版本的产品。StimeLabes研究员Max Van Amerongen已经被发现发现并报告了这个问题，随后，Oracle推出了修复补丁作为2021年7月补丁更新的一部分。

Oracle VM VirtualBox是一款开源、跨平台的虚拟机监控程序和桌面虚拟化软件，使用户能够在一台物理机器上运行多个来宾操作系统，如Windows、Linux发行版、OpenBSD和Oracle Solaris。

Van Amerongen在8月份指出：“它既可以作为主机进程中的越界读取，也可以作为整数下溢。在某些情况下，它还可以用于远程DoS其他Virtualbox虚拟机。”。

VaMaungEN还发现了另外两个影响版本在1.1.20之前的版本，并在2021年4月和8212日由Oracle解决；

• CVE-2021-2145（CVSS分数：7.5）：Oracle VirtualBox NAT整数下溢权限升级漏洞
• CVE-2021-2310（CVSS分数：7.5）：Oracle VirtualBox NAT基于堆的缓冲区溢出权限升级漏洞（影响，于4月修补）

上述两个问题都存在于NAT的实现中，这是由于用户提供的数据缺乏适当的验证而引起的。成功攻击这两个缺点可以使本地对手升级权限并执行任意代码，从而完全接管易受攻击的Oracle VM VirtualBox。

鉴于已知威胁行为人会迅速采取行动，利用未修补漏洞带来的安全漏洞，因此各组织必须将其VirtualBox安装更新至最新版本，以降低任何潜在的攻击风险。