GLSA-202212-03 : Oracle VirtualBox：多个漏洞

high Nessus 插件 ID 168907

语言：

描述

远程主机受到 GLSA-202212-03 中所述漏洞的影响（Oracle VirtualBox：多个漏洞）

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.40 的版本。难以利用的漏洞允许高权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox 。虽然该漏洞存在于 Oracle VM VirtualBox, 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致接管 Oracle VM VirtualBox。(CVE-2022-21620)

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.40 的版本。可轻松利用的漏洞允许高权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox。虽然该漏洞存在于 Oracle VM VirtualBox, 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle VM VirtualBox 挂起或频繁出现崩溃（完整 DOS）。
(CVE-2022-21621)

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.40 的版本。可轻松利用的漏洞允许高权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle VM VirtualBox 挂起或频繁出现崩溃（完整 DOS）。(CVE-2022-21627)

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.40 的版本。可轻松利用的漏洞允许低权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致接管 Oracle VM VirtualBox。注意：此漏洞仅影响 Windows 系统。(CVE-2022-39421)

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.38 的版本。难以利用的漏洞允许高权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox 。虽然该漏洞存在于 Oracle VM VirtualBox, 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致接管 Oracle VM VirtualBox。(CVE-2022-39422)

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.38 的版本。可轻松利用的漏洞允许高权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox。虽然该漏洞存在于 Oracle VM VirtualBox, 中，但攻击可能对其他产品造成重大影响（范围更改）。成功攻击此漏洞可能导致未经授权即可访问关键数据，或完整访问 Oracle Solaris 的所有可访问数据。(CVE-2022-39423)

- Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是低于 6.1.40 的版本。利用此漏洞比较困难，具有网络访问权限的未经身份验证的攻击者可借此通过 VRDP 入侵 Oracle VM VirtualBox。成功利用此漏洞进行攻击可导致接管 Oracle VM VirtualBox。（CVE-2022-39424、CVE-2022-39425、CVE-2022-39426）

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

解决方案

所有 Oracle VirtualBox 用户皆应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=app-emulation/virtualbox-6.1.40 所有 Oracle VirtualBox 用户皆应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=app-emulation/virtualbox-modules-6.1.40