リモートホストにインストールされている VirtualBox のバージョンは 6.144より前、もしくは 7.0.8より前です。したがって、2023 年 4 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性 (コンポーネント: Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8より前です。簡単に悪用可能な脆弱性によって、権限の高い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBox の乗っ取りが発生する可能性があります。(CVE-2023-21990)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性 (コンポーネント: Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8より前です。悪用するのが困難な脆弱性によって、権限の低い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBox の乗っ取りが発生する可能性があります。(CVE-2023-21987)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性 (コンポーネント: コア (cURL))。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8より前です。7.86.0 より前の curl では、HSTS チェックがバイパスされて、HTTP に留まる可能性があります。HSTS サポートを使用すると、HTTP が URL で提供されている場合でも、curl に (安全でない平文 HTTP ステップを使用する代わりに) 直接 HTTPS を使用するよう指示することができます。特定の URL のホスト名が IDN 変換の一部として ASCII の対応文字列で置換される IDN 文字を使用する場合、このメカニズムはバイパスされる可能性があります。たとえば、U+002E(.) の一般的な ASCII を完全に停止する代わりに、文字 UTF-8 U + 3002 (IDEOGRAPHIC FULL STOP) を使用します。(CVE-2022-42916) Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己申告したバージョン番号にのみ依存しています。

リモートの openSUSE 15 ホストには、openSUSE-SU-2023:0166-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8より前です。悪用するのが困難な脆弱性によって、権限の低い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBox の乗っ取りが発生する可能性があります。(CVE-2023-21987)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8より前です。簡単に悪用可能な脆弱性によって、権限の低い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBox がアクセスできるデータのサブセットを、権限なしで読み取りアクセス可能になります。(CVE-2023-21988)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8 より前です。簡単に悪用可能な脆弱性によって、権限の高い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、権限なしで重要なデータにアクセスできるようになるか、Oracle VM VirtualBox がアクセスできるすべてのデータに完全にアクセスできるようになります。(CVE-2023-21989、CVE-2023-22002)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8 より前です。簡単に悪用可能な脆弱性によって、権限の高い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBox の乗っ取りが発生する可能性があります。(CVE-2023-21990)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8 より前です。簡単に悪用可能な脆弱性によって、権限の高い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBox がアクセスできるデータのサブセットを、権限なしで読み取りアクセス可能になります。(CVE-2023-21991)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8 より前です。簡単に悪用可能な脆弱性によって、権限の高い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、権限のない更新、Oracle VM VirtualBox がアクセスできるデータへのアクセスの挿入、削除ならびに Oracle VM VirtualBox がアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。注意: この脆弱性は Windows VM にのみ適用されます。(CVE-2023-21998)

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8より前です。悪用するのが困難な脆弱性によって、権限の低い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。この脆弱性による攻撃が成功すると、権限のない更新、Oracle VM VirtualBox がアクセスできるデータへのアクセスの挿入、削除ならびに Oracle VM VirtualBox がアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。（CVE-2023-21999）

  - Oracle Virtualization の Oracle VM VirtualBox 製品の脆弱性（コンポーネント：Core)。影響を受けるサポート対象のバージョンは、6.1.44 より前および 7.0.8 より前です。簡単に悪用可能な脆弱性によって、権限の高い攻撃者が、Oracle VM VirtualBox が実行されているインフラストラクチャにログオンし、Oracle VM VirtualBox を侵害する可能性があります。脆弱性があるのは Oracle VM VirtualBox ですが、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、権限のない更新、Oracle VM VirtualBox がアクセスできるデータへのアクセスの挿入、削除ならびに Oracle VM VirtualBox がアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。(CVE-2023-22000、CVE-2023-22001)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2023:0166-1 advisory.

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Difficult to exploit vulnerability     allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may     significantly impact additional products (scope change). Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox. (CVE-2023-21987)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Easily exploitable vulnerability allows     low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise     Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact     additional products (scope change). Successful attacks of this vulnerability can result in unauthorized     read access to a subset of Oracle VM VirtualBox accessible data. (CVE-2023-21988)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Easily exploitable vulnerability allows     high privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may     significantly impact additional products (scope change). Successful attacks of this vulnerability can     result in unauthorized access to critical data or complete access to all Oracle VM VirtualBox accessible     data. (CVE-2023-21989, CVE-2023-22002)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Easily exploitable vulnerability allows     high privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may     significantly impact additional products (scope change). Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox. (CVE-2023-21990)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Easily exploitable vulnerability allows     high privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may     significantly impact additional products (scope change). Successful attacks of this vulnerability can     result in unauthorized read access to a subset of Oracle VM VirtualBox accessible data. (CVE-2023-21991)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Easily exploitable vulnerability allows     high privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may     significantly impact additional products (scope change). Successful attacks of this vulnerability can     result in unauthorized update, insert or delete access to some of Oracle VM VirtualBox accessible data as     well as unauthorized read access to a subset of Oracle VM VirtualBox accessible data. Note: This     vulnerability applies to Windows VMs only. (CVE-2023-21998)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Difficult to exploit vulnerability     allows low privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks of this vulnerability can result in unauthorized     update, insert or delete access to some of Oracle VM VirtualBox accessible data as well as unauthorized     read access to a subset of Oracle VM VirtualBox accessible data. (CVE-2023-21999)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported     versions that are affected are Prior to 6.1.44 and Prior to 7.0.8. Easily exploitable vulnerability allows     high privileged attacker with logon to the infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. While the vulnerability is in Oracle VM VirtualBox, attacks may     significantly impact additional products (scope change). Successful attacks of this vulnerability can     result in unauthorized update, insert or delete access to some of Oracle VM VirtualBox accessible data as     well as unauthorized read access to a subset of Oracle VM VirtualBox accessible data. (CVE-2023-22000,     CVE-2023-22001)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程主机上安装的 VirtualBox 版本低于 6.144 或 7.0.8。因此，该软件受到 2023 年 4 月 CPU 公告中提及的多个漏洞影响：

  - Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是 6.1.44 和 7.0.8 之前的版本。可轻松利用的漏洞允许高权限攻击者登录 Oracle VM VirtualBox 执行的基础结构，从而破坏 Oracle VM VirtualBox。虽然该漏洞存在于 Oracle VM VirtualBox, 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致接管 Oracle VM VirtualBox。(CVE-2023-21990)

  - Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core）。支持的版本中受影响的是 6.1.44 和 7.0.8 之前的版本。难以利用的漏洞允许低权限攻击者登录 Oracle VM VirtualBox  执行的基础结构，从而破坏 Oracle VM VirtualBox 。虽然该漏洞存在于 Oracle VM VirtualBox, 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致接管 Oracle VM VirtualBox。(CVE-2023-21987)

  - Oracle Virtualization 的 Oracle VM VirtualBox 产品中存在漏洞（组件：Core (cURL)）。支持的版本中受影响的是 6.1.44 和 7.0.8 之前的版本。在 7.86.0 版之前的 curl 中，可绕过 HSTS 检查以诱骗其继续使用 HTTP。使用其 HSTS 支持，即使在 URL 中提供 HTTP 时，也可指示 curl 直接使用 HTTPS，而不是使用不安全的明文 HTTP 步骤。如果给定 URL 中的主机名使用在 IDN 转换过程中被 ASCII 对应项替换的 IDN 字符，则可绕过此机制。例如使用字符 UTF-8 U+3002 (IDEOGRAPHIC FULL STOP) 而不是通用 ASCII 句号 U+002E (.)。(CVE-2022-42916) 请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

遠端主機上安裝的 Virtualbox 為 6.144 或 7.0.8 之前的版本。因此，其會受到 2023 年 4 月 CPU 公告中提及的多個弱點影響：

  - Oracle Virtualization 的 Oracle VM VirtualBox 產品中存在弱點 (元件：Core)。受影響的支援版本是 6.1.44 之前版本和 7.0.8 之前版本。此弱點較易攻擊成功，高權限攻擊者可藉此登入 Oracle VM VirtualBox 執行所在的基礎結構，進而入侵 Oracle VM VirtualBox。雖然弱點存在於 Oracle VM VirtualBox 中，但攻擊可能對其他產品造成重大影響 (範圍變更)。若成功攻擊此弱點，則可能導致接管 Oracle VM VirtualBox。(CVE-2023-21990)

  - Oracle Virtualization 的 Oracle VM VirtualBox 產品中存在弱點 (元件：Core)。受影響的支援版本是 6.1.44 之前版本和 7.0.8 之前版本。低權限攻擊者可利用難以利用的弱點，登入 Oracle VM VirtualBox 執行所在的基礎結構，進而入侵 Oracle VM VirtualBox。雖然弱點存在於 Oracle VM VirtualBox 中，但攻擊可能對其他產品造成重大影響 (範圍變更)。若成功攻擊此弱點，則可能導致接管 Oracle VM VirtualBox。(CVE-2023-21987)

  - Oracle Virtualization 的 Oracle VM VirtualBox 產品中存在弱點 (元件：核心 (cURL))。受影響的支援版本是 6.1.44 之前版本和 7.0.8 之前版本。在 curl 7.86.0 之前版本中，使用者可以繞過 HSTS 檢查以誘騙其繼續使用 HTTP。若使用 HSTS 支援，即使已在 URL 中提供 HTTP，仍可指示 curl 直接使用 HTTPS (而不使用不安全的純文字 HTTP 步驟)。如果指定 URL 中的主機名稱使用在 IDN 轉換過程中被 ASCII 對應項取代的 IDN 字元，則可繞過此機制，例如，使用字元 UTF-8 U+3002 (IDEOGRAPHIC FULL STOP)，而非常見的 ASCII U+002E 的句號 (.)。(CVE-2022-42916) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

The version of VirtualBox installed on the remote host is prior to 6.144 or 7.0.8. It is, therefore, affected by multiple vulnerabilities as referenced in the April 2023 CPU advisory:

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions     that are affected are prior to 6.1.44 and prior to 7.0.8. Easily exploitable vulnerability allows high privileged     attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox.     While the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope     change). Successful attacks of this vulnerability can result in takeover of Oracle VM VirtualBox. (CVE-2023-21990)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions     that are affected are prior to 6.1.44 and prior to 7.0.8. Difficult to exploit vulnerability allows low privileged     attacker with logon to the infrastructure where Oracle VM VirtualBox executes to compromise Oracle VM VirtualBox.     While the vulnerability is in Oracle VM VirtualBox, attacks may significantly impact additional products (scope     change). Successful attacks of this vulnerability can result in takeover of Oracle VM VirtualBox. (CVE-2023-21987)

  - Vulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core (cURL)). Supported     versions that are affected are prior to 6.1.44 and prior to 7.0.8. In curl before 7.86.0, the HSTS check could be     bypassed to trick it into staying with HTTP. Using its HSTS support, curl can be instructed to use HTTPS directly     (instead of using an insecure cleartext HTTP step) even when HTTP is provided in the URL. This mechanism could be     bypassed if the host name in the given URL uses IDN characters that get replaced with ASCII counterparts as part     of the IDN conversion, e.g., using the character UTF-8 U+3002 (IDEOGRAPHIC FULL STOP) instead of the common ASCII     full stop of U+002E (.).(CVE-2022-42916)   Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
174462	Oracle VM VirtualBox <6.1.44、< 7.0.8(2023 年 4 月 CPU)	Nessus	Misc.	2023/4/19	2023/7/20	high
177993	openSUSE 15 セキュリティ更新: virtualbox (openSUSE-SU-2023:0166-1)	Nessus	SuSE Local Security Checks	2023/7/5	2023/7/20	high
177993	openSUSE 15 Security Update : virtualbox (openSUSE-SU-2023:0166-1)	Nessus	SuSE Local Security Checks	2023/7/5	2023/7/20	high
174462	Oracle VM VirtualBox <6.1.44、< 7.0.8（2023 年 4 月 CPU）	Nessus	Misc.	2023/4/19	2023/7/20	high
174462	Oracle VM VirtualBox <6.1.44、< 7.0.8 (2023 年 4 月 CPU)	Nessus	Misc.	2023/4/19	2023/7/20	high
174462	Oracle VM VirtualBox <6.1.44, < 7.0.8 (April 2023 CPU)	Nessus	Misc.	2023/4/19	2023/7/20	high

検出

プラグインの検索

high

high

high

high

high

high