深刻度

テーマ

Oracle VM VirtualBox 5.0.x < 5.0.34/5.1.x < 5.1.16共有フォルダーの実装情報の漏えい

high Nessus プラグイン ID 99200

言語:

概要

リモートホストにインストールされているアプリケーションは、情報漏えいの脆弱性の影響を受けます。

説明

リモートホストにインストールされているOracle VM VirtualBoxのバージョンは5.0.34より前の5.0.xまたは5.1.16より前の5.1.xです。したがって、共有フォルダー実装の情報漏えいの脆弱性の影響を受けます。特にvbsfPathCheckRootEscape()関数の場合、同じ共有フォルダーへの書き込みアクセス権を持つ協力ゲストがLinuxホストのファイルシステムにアクセスできるようになります。ゲストVMの認証された攻撃者がこれを利用し、ホスト上の任意のファイルを読み取る可能性があります。ただし、悪用するには、共有フォルダーがファイルシステムのルートから9レベル以内にある必要があります。Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

Oracle VM VirtualBoxバージョン5.0.34 / 5.1.16以降にアップグレードしてください。

プラグインの詳細

深刻度: High

ID: 99200

ファイル名: virtualbox_5_1_16.nasl

バージョン: 1.8

タイプ: local

エージェント: windows, macosx, unix

ファミリー: Misc.

公開日: 2017/4/5

更新日: 2019/11/13

サポートされているセンサー: Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 6.3

CVSS v2

リスクファクター: Medium

Base Score: 6.3

Temporal Score: 4.7

ベクトル: CVSS2#AV:L/AC:M/Au:N/C:C/I:C/A:N

現状ベクトル: CVSS2#E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2017-3538

CVSS v3

リスクファクター: High

Base Score: 7.5

Temporal Score: 6.5

ベクトル: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:oracle:vm_virtualbox

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2017/3/8

脆弱性公開日: 2017/3/13

参照情報

CVE: CVE-2017-3538