Oracle VM VirtualBox 5.2.x < 5.2.24/6.0.x < 6.0.2(2019年1月CPU)

medium Nessus プラグイン ID 121247
New! Vulnerability Priority Rating (VPR)

Tenable では、すべての脆弱性に対して動的な VPR が計算されます。VPR は脆弱性の情報を、脅威インテリジェンスや機械学習アルゴリズムと組み合わせて、攻撃時に最も悪用される可能性の高い脆弱性を予測します。詳細は、 「VPR とは何で、CVSS とはどう違うのか」を参照してください。

VPR スコア : 6.7

概要

リモートホストにインストールされているアプリケーションは、複数の脆弱性による影響を受けます。

説明

リモートホストで実行されているOracle VM VirtualBoxのバージョンは5.2.24より前の5.2.x、6.0.2より前の6.0.xです。したがって、2018年1月のCritical Patch Updateアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。- バンドルされているサードパーティコンポーネントのOpenSSLライブラリにおいてDSA署名アルゴリズムにサービス拒否の脆弱性が含まれているため、タイミングサイドチャネル攻撃に脆弱です。攻撃者がこの脆弱性を悪用して、秘密鍵を復元する可能性があります。(CVE-2018-0734)- Oracle VirtualBoxのCoreコンポーネントにおける詳細不明な複数の脆弱性により、認証されたローカルの攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを危険にさらす可能性があります。(CVE-2018-3309、CVE-2019-2500、CVE-2019-2520、CVE-2019-2521、CVE-2019-2522、CVE-2019-2523、CVE-2019-2524、CVE-2019-2526、CVE-2019-2548、CVE-2019-2552)- Oracle VirtualBoxのCoreコンポーネントにおける詳細不明な複数の脆弱性により、認証されたローカルの攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、重要データまたは機密データを漏えいさせる可能性があります。(CVE-2019-2446、CVE-2019-2448、CVE-2019-2450、CVE-2019-2451、CVE-2019-2501、CVE-2019-2504、CVE-2019-2505、CVE-2019-2506、CVE-2019-2525、CVE-2019-2553、CVE-2019-2554、CVE-2019-2555、CVE-2019-2556)- Oracle VirtualBoxのCoreコンポーネントにおけるサービス拒否の脆弱性により、認証されたローカルの攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、サービス拒否状態を引き起こす可能性があります。(CVE-2019-2508、CVE-2019-2509、CVE-2019-2527)- Oracle VirtualBoxのCoreコンポーネントにおけるSOAPプロトコルによるサービス拒否の脆弱性により、認証されていないリモートの攻撃者が、サービス拒否状態を引き起こす可能性があります。(CVE-2019-2511)注意:Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

2019年1月のOracle Critical Patch Updateアドバイザリに記載されているとおり、Oracle VM VirtualBoxバージョン5.2.24、6.0.2以降にアップグレードしてください。

関連情報

http://www.nessus.org/u?0dcafb3e

https://www.virtualbox.org/wiki/Changelog

プラグインの詳細

深刻度: Medium

ID: 121247

ファイル名: virtualbox_jan_2019_cpu.nasl

バージョン: 1.6

タイプ: local

エージェント: windows, macosx, unix

ファミリー: Misc.

公開日: 2019/1/18

更新日: 2019/11/1

依存関係: virtualbox_installed.nasl, macosx_virtualbox_installed.nbin

リスク情報

リスクファクター: Medium

VPR スコア: 6.7

CVSS スコアのソース: CVE-2019-2551

CVSS v2.0

Base Score: 5.8

Temporal Score: 4.5

ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:N

現状ベクトル: E:POC/RL:OF/RC:C

CVSS v3.0

Base Score: 8.2

Temporal Score: 7.4

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

現状ベクトル: E:P/RL:O/RC:C

脆弱性の情報

CPE: cpe:/a:oracle:vm_virtualbox

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2019/1/15

脆弱性公開日: 2018/10/30

参照情報

CVE: CVE-2018-0734, CVE-2018-0735, CVE-2018-3309, CVE-2018-5407, CVE-2019-2446, CVE-2019-2448, CVE-2019-2500, CVE-2019-2501, CVE-2019-2504, CVE-2019-2505, CVE-2019-2506, CVE-2019-2508, CVE-2019-2509, CVE-2019-2511, CVE-2019-2520, CVE-2019-2521, CVE-2019-2522, CVE-2019-2523, CVE-2019-2524, CVE-2019-2525, CVE-2019-2526, CVE-2019-2527, CVE-2019-2548, CVE-2019-2550, CVE-2019-2551, CVE-2019-2552, CVE-2019-2553, CVE-2019-2554, CVE-2019-2555, CVE-2019-2556

BID: 105750, 105758, 105897, 106568, 106572, 106574, 106613