Oracle VM VirtualBox 5.2.x < 5.2.24/6.0.x < 6.0.2(2019年1月CPU)

high Nessus プラグイン ID 121247

概要

リモートホストにインストールされているアプリケーションは、複数の脆弱性による影響を受けます。

説明

リモートホストで実行されているOracle VM VirtualBoxのバージョンは5.2.24より前の5.2.x、6.0.2より前の6.0.xです。したがって、2018年1月のCritical Patch Updateアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。- バンドルされているサードパーティコンポーネントのOpenSSLライブラリにおいてDSA署名アルゴリズムにサービス拒否の脆弱性が含まれているため、タイミングサイドチャネル攻撃に脆弱です。攻撃者がこの脆弱性を悪用して、秘密鍵を復元する可能性があります。(CVE-2018-0734)- Oracle VirtualBoxのCoreコンポーネントにおける詳細不明な複数の脆弱性により、認証されたローカルの攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを危険にさらす可能性があります。(CVE-2018-3309、CVE-2019-2500、CVE-2019-2520、CVE-2019-2521、CVE-2019-2522、CVE-2019-2523、CVE-2019-2524、CVE-2019-2526、CVE-2019-2548、CVE-2019-2552)- Oracle VirtualBoxのCoreコンポーネントにおける詳細不明な複数の脆弱性により、認証されたローカルの攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、重要データまたは機密データを漏えいさせる可能性があります。(CVE-2019-2446、CVE-2019-2448、CVE-2019-2450、CVE-2019-2451、CVE-2019-2501、CVE-2019-2504、CVE-2019-2505、CVE-2019-2506、CVE-2019-2525、CVE-2019-2553、CVE-2019-2554、CVE-2019-2555、CVE-2019-2556)- Oracle VirtualBoxのCoreコンポーネントにおけるサービス拒否の脆弱性により、認証されたローカルの攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、サービス拒否状態を引き起こす可能性があります。(CVE-2019-2508、CVE-2019-2509、CVE-2019-2527)- Oracle VirtualBoxのCoreコンポーネントにおけるSOAPプロトコルによるサービス拒否の脆弱性により、認証されていないリモートの攻撃者が、サービス拒否状態を引き起こす可能性があります。(CVE-2019-2511)注意:Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

2019年1月のOracle Critical Patch Updateアドバイザリに記載されているとおり、Oracle VM VirtualBoxバージョン5.2.24、6.0.2以降にアップグレードしてください。

参考資料

http://www.nessus.org/u?0dcafb3e

https://www.virtualbox.org/wiki/Changelog

プラグインの詳細

深刻度: High

ID: 121247

ファイル名: virtualbox_jan_2019_cpu.nasl

バージョン: 1.7

タイプ: local

エージェント: windows, macosx, unix

ファミリー: Misc.

公開日: 2019/1/18

更新日: 2022/5/24

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.5

CVSS v2

リスクファクター: Medium

基本値: 5.8

現状値: 4.5

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS スコアのソース: CVE-2019-2551

CVSS v3

リスクファクター: High

基本値: 8.8

現状値: 7.9

ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

CVSS スコアのソース: CVE-2019-2552

脆弱性情報

CPE: cpe:/a:oracle:vm_virtualbox

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2019/1/15

脆弱性公開日: 2018/10/30

参照情報

CVE: CVE-2018-0734, CVE-2018-0735, CVE-2018-3309, CVE-2018-5407, CVE-2019-2446, CVE-2019-2448, CVE-2019-2500, CVE-2019-2501, CVE-2019-2504, CVE-2019-2505, CVE-2019-2506, CVE-2019-2508, CVE-2019-2509, CVE-2019-2511, CVE-2019-2520, CVE-2019-2521, CVE-2019-2522, CVE-2019-2523, CVE-2019-2524, CVE-2019-2525, CVE-2019-2526, CVE-2019-2527, CVE-2019-2548, CVE-2019-2550, CVE-2019-2551, CVE-2019-2552, CVE-2019-2553, CVE-2019-2554, CVE-2019-2555, CVE-2019-2556

BID: 105750, 105758, 105897, 106568, 106572, 106574, 106613