Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu wpływa na VirtualBox

Według zasobu profilu Zero Day Initiative w Oracle VirtualBox została zidentyfikowana luka o kodzie CVE 2023-22018. Umożliwia zdalne wykonanie dowolnego kodu na maszynach wirtualnych poprzez sesję protokołu RDP.

W niektórych konfiguracjach luka może zostać wykorzystana przez nieuwierzytelnionego użytkownika mającego dostęp sieciowy do usługi RDP.

Problem jest spowodowany błędem w obsłudze żądań przekazania dostępu do urządzeń USB. Nie sprawdza rozmiaru przesyłanych danych użytkownika, co prowadzi do zapisu poza przydzielonym buforem pamięci.

Oracle naprawiło lukę w najnowszych wersjach VirtualBox 7.0.10 I VirtualBox 6.1.46. Zaleca się aktualizację VirtualBox do najnowszej wersji w celu usunięcia luki CVE-2023-22018.

Możesz dowiedzieć się więcej Tutaj.