La vulnérabilité d'exécution de code à distance affecte VirtualBox

Selon la ressource de profil Zero Day Initiative, une vulnérabilité avec le code CVE 2023-22018 a été identifiée dans Oracle VirtualBox. Il permet l'exécution à distance de code arbitraire sur des machines virtuelles via une session de protocole RDP.

Dans certaines configurations, la vulnérabilité pourrait être exploitée par un utilisateur non authentifié ayant un accès réseau au service RDP.

Le problème est dû à un bug dans la gestion des demandes de transfert d'accès aux périphériques USB. Il ne parvient pas à vérifier la taille des données utilisateur transmises, ce qui entraîne une écriture en dehors de la mémoire tampon allouée.

Oracle a corrigé la vulnérabilité dans les dernières versions de Boîte virtuelle 7.0.10 et Boîte virtuelle 6.1.46. Il est recommandé de mettre à jour VirtualBox vers la dernière version pour résoudre la vulnérabilité CVE-2023-22018.

Vous pouvez en savoir plus ici.