PT-2024-4878 · Oracle · Virtualbox

Alaa Kachouh + 1 · Publicado 2024-04-16 · Atualizado 2024-08-15 · CVE-2024-21107

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:L/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Versões do Oracle VM VirtualBox anteriores à 7.0.16

Descrição:

O problema está relacionado à validação insuficiente de entradas no componente Core do Oracle VM VirtualBox, permitindo que um invasor com privilégios elevados e acesso de logon à infraestrutura comprometa o Oracle VM VirtualBox. Ataques bem-sucedidos podem resultar na tomada de controle do Oracle VM VirtualBox. Esta vulnerabilidade se aplica apenas a hosts Windows.

Recomendações:

Para versões anteriores à 7.0.16, atualize para a versão 7.0.16 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente Core do Oracle VM VirtualBox para minimizar o risco de exploração.

Correção

Improper Access Control

RCE

Enumeração de Fraquezas

CWE-284

CWE-20

Identificadores relacionados

BDU:2024-05402

CVE-2024-21107

MGASA-2024-0232

Produtos afetados

Virtualbox

Referências · 17

• https://virtualbox.org/wiki/Changelog-7.0#v18 · Nota
• https://advisories.mageia.org/MGASA-2024-0232.html · Nota de Segurança
• https://bugs.mageia.org/show_bug.cgi?id=33273 · Nota
• https://t.me/cvenotify/90766 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2024-05402 · Nota de Segurança
• https://oracle.com/security-alerts/cpuapr2024.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-21107 · Nota de Segurança
• https://virtualbox.org/wiki/Changelog-7.0#v16 · Nota
• https://twitter.com/CVEnew/status/1780349873247666451 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2024-21107 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-21107 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuapr2024.html#AppendixOVIR · Nota
• https://cve.org/CVERecord?id=CVE-2024-21107 · Nota de Segurança
• https://altsp.su/obnovleniya-bezopasnosti · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-21107 · Nota