PT-2020-4705 · Oracle+1 · Virtualbox+1

Publicado 2020-08-21 · Atualizado 2021-04-28 · CVE-2020-14886

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.0

Média

Vetor base

AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Oracle VM VirtualBox anteriores à 6.1.16

Descrição

O problema está relacionado à validação insuficiente de entradas na função shader skip unrecognized do componente Core no Oracle VM VirtualBox. Isso permite que um invasor com privilégios elevados, que tenha feito logon na infraestrutura onde o Oracle VM VirtualBox é executado, comprometa o Oracle VM VirtualBox, resultando potencialmente em acesso não autorizado a dados críticos ou acesso total a todos os dados acessíveis pelo Oracle VM VirtualBox. Os ataques podem impactar significativamente outros produtos.

Recomendações

Para versões anteriores à 6.1.16, atualize para a versão 6.1.16 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente Core do Oracle VM VirtualBox para minimizar o risco de exploração. Evite usar a função shader skip unrecognized até que o problema seja resolvido.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

ALT-PU-2021-1002

ALT-PU-2021-1003

ALT-PU-2021-1004

ALT-PU-2021-1084

ALT-PU-2021-1085

ALT-PU-2021-1086

ALT-PU-2021-1087

ALT-PU-2021-1088

ALT-PU-2021-1740

ALT-PU-2021-1741

ALT-PU-2021-1742

BDU:2020-05257

CVE-2020-14886

MGASA-2020-0466

ZDI-20-1280

Produtos afetados

Alt Linux

Virtualbox

Referências · 16

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-14886 · Nota
• https://oracle.com/security-alerts/cpuoct2020.html · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=27479 · Nota
• https://osv.dev/vulnerability/CVE-2020-14886 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202101-15 · Aviso do Fabricante
• https://t.me/cvenotify/10296 · Publicação no Telegram
• https://osv.dev/vulnerability/MGASA-2020-0466 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2020-05257 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2020-14886 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-20-1280 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-14886 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-14886 · Nota de Segurança
• https://oracle.com/security-alerts/cpuoct2020.html#AppendixOVIR · Nota
• https://virtualbox.org/wiki/Changelog-6.1#v16 · Nota
• https://ubuntu.com/security/CVE-2020-14886 · Aviso do Fabricante