The remote host is affected by the vulnerability described in GLSA-202101-09 (VirtualBox: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in VirtualBox. Please       review the CVE identifiers referenced below for details.
  Impact :

    An attacker could take control of VirtualBox resulting in the execution       of arbitrary code with the privileges of the process, a Denial of Service       condition, or other unspecified impacts.
  Workaround :

    There is no known workaround at this time.

Virtualbox was updated to 6.0.22 (released May 15 2020 by Oracle)

This is a maintenance release. The following items were fixed and/or added :

Guest Additions: Build problems fix with Oracle Linux 8.2 (Red Hat compatible kernel) / Red Hat Enterprise Linux 8.2 / CentOS 8.2 (bug #19391) Guest Control/VBoxManage: fix handling of multiple environment variables supplied to 'VBoxManage guestcontrol VM run' (6.1.6/6.0.20 regression; bug #19518)

Version bump to 6.0.20 (released April 14 2020 by Oracle)

This is a maintenance release. The following items were fixed and/or added :

  - USB: Multiple enhancements improving prformance and     stability

  - VBoxManage: Multiple fixes for guestcontrol command

  - Graphics: Enhancements in 2D and 3D acceleration and     rendering

  - API: Fix for exception handling bug in Python bindings

  - Linux host and guest: Support Linux kernel 5.6 (bug     #19312)

This update fixes the following security issues: CVE-2020-2741, CVE-2020-2742, CVE-2020-2743, CVE-2020-2748, CVE-2020-2758, CVE-2020-2894, CVE-2020-2902, CVE-2020-2905, CVE-2020-2907, CVE-2020-2908, CVE-2020-2909, CVE-2020-2910, CVE-2020-2911, CVE-2020-2913, CVE-2020-2914, CVE-2020-2929, CVE-2020-2951, CVE-2020-2958, CVE-2020-2959 (bsc#1169628)

The version of Oracle VM VirtualBox running on the remote host is 5.2.x prior to 5.2.40, 6.0.x prior to 6.0.20 or 6.1.x prior to 6.1.6. It is, therefore, affected by multiple vulnerabilities as noted in the April 2019 Critical Patch Update advisory. Note that Nessus has not tested for this issue buthas instead relied only on the application's self-reported version number:

  - An input-validation flaw exists within the processing of     data sent to OHCI endpoints that could allow privilege     escalation. (CVE-2020-2575)

  - An unspecified vulnerability exists in the Oracle     Virtualization Core component. An authenticated,     local attacker can exploit this issue, to compromise     and takeover the Oracle VM VirtualBox. (CVE-2020-2742,     CVE-2020-2758, CVE-2020-2894, CVE-2020-2905,     CVE-2020-2908, CVE-2020-2902, CVE-2020-2907,     CVE-2020-2911, CVE-2020-2913, CVE-2020-2914,     CVE-2020-2929, CVE-2020-2958)

  - An unspecified vulnerability exists in the Oracle     Virtualization Core component. An authenticated, local     attacker can exploit this issue, for unauthorized access     to critical data or complete access to all  Oracle VM     VirtualBox accessible data. (CVE-2020-2741,     CVE-2020-2743)

  - An unspecified vulnerability exists in the Oracle     Virtualization Core component. An authenticated, local     attacker can exploit this issue, for unauthorized read     access to a subset of Oracle VM VirtualBox  accessible     data. (CVE-2020-2748)

  - An unspecified vulnerability exists in the Oracle     Virtualization Core component. An authenticated, local     attacker can exploit this issue, for unauthorized     creation, deletion or modification access to critical     data or all Oracle VM VirtualBox accessible data.
    (CVE-2020-2910)

  - An unspecified vulnerability exists in the Oracle     Virtualization Core component. An authenticated, local     attacker can exploit this issue, for unauthorized     ability to cause a partial denial of service (partial     DOS) of Oracle VM VirtualBox. (CVE-2020-2909)

  - An unspecified vulnerability exists in the Oracle     Virtualization Core component. An authenticated, local     attacker can exploit this issue, for unauthorized     ability to cause a hang or frequently repeatable crash     (complete DOS) of Oracle VM VirtualBox. (CVE-2020-2959,     CVE-2020-2951)

リモートホストで実行されているOracle VM VirtualBoxのバージョンは5.2.40より前の5.2.x、6.0.20より前の6.0.x、6.1.6より前の6.1.xです。したがって、2019年4月のOracle Critical Patch Updateアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

  - OHCIエンドポイントに送信されたデータの処理に入力検証の欠陥が存在するため、権限が昇格される可能性があります。 （CVE-2020-2575）

  - Oracle Virtualization Coreコンポーネントに詳細不明の脆弱性があります。認証されたローカルの攻撃者がこの問題を悪用して、Oracle VM VirtualBoxを侵害して乗っ取る可能性があります。（CVE-2020-2742、CVE-2020-2758、CVE-2020-2894、CVE-2020-2905、CVE-2020-2908、CVE-2020-2902、CVE-2020-2907、CVE-2020-2911、CVE-2020-2913、CVE-2020-2914、CVE-2020-2929、CVE-2020-2958）

  - Oracle Virtualization Coreコンポーネントに詳細不明の脆弱性があります。認証されたローカル攻撃者がこの問題を悪用し、重要なデータに不正にアクセスしたり、Oracle VM VirtualBoxのすべてのアクセス可能データに対する完全なアクセス権を取得したりする可能性があります。（CVE-2020-2741、CVE-2020-2743）

  - Oracle Virtualization Coreコンポーネントに詳細不明の脆弱性があります。認証されたローカル攻撃者がこの問題を悪用し、Oracle VM VirtualBoxのアクセス可能データのサブセットに、不正な読み取りアクセスを行う可能性があります。（CVE-2020-2748）

  - Oracle Virtualization Coreコンポーネントに詳細不明の脆弱性があります。認証されたローカル攻撃者がこの問題を悪用し、重要なデータやすべてのOracle VM VirtualBoxのアクセス可能データにアクセスして、不正に作成、削除、変更する可能性があります。
    （CVE-2020-2910）

  - Oracle Virtualization Coreコンポーネントに詳細不明の脆弱性があります。認証されたローカル攻撃者がこの問題を悪用し、不正にOracle VM VirtualBoxの部分的なサービス拒否（部分的なDOS）を引き起こす可能性があります。（CVE-2020-2909）

  - Oracle Virtualization Coreコンポーネントに詳細不明の脆弱性があります。認証されたローカル攻撃者がこの問題を悪用し、不正にOracle VM VirtualBoxのハングや、クラッシュの頻繁な再発（完全なDoS）を引き起こす可能性があります。（CVE-2020-2959、CVE-2020-2951）

Virtualboxが6.0.22に更新しました（2020年5月15日にOracleからリリース）

これはメンテナンスリリースです。次の項目が修正および/または追加されました：

Guest Additions：Oracle Linux 8.2（Red Hatと互換性のあるカーネル）/Red Hat Enterprise Linux 8.2/CentOS 8.2（バグ#19391）Guest Control/VBoxManageに伴うビルドの問題の修正：「VBoxManage guestcontrol VM run」に提供される複数の環境変数の処理を修正します（6.1.6/6.0.20回帰、バグ#19518）

6.0.20へのバージョン更新（2020年4月14日にOracleからリリース）

これはメンテナンスリリースです。次の項目が修正および/または追加されました：

  - USB：パフォーマンスと安定性を改善する複数の強化

  - VBoxManage：guestcontrolコマンドの複数の修正

  - グラフィックス：2Dおよび3Dアクセラレーションとレンダリングの強化

  - API：Pythonバインディングでの例外処理のバグの修正

  - Linuxホストおよびゲスト：Linuxカーネル5.6をサポートします（バグ#19312）

この更新では、次のセキュリティ問題が修正されます：CVE-2020-2741、CVE-2020-2742、CVE-2020-2743、CVE-2020-2748、CVE-2020-2758、CVE-2020-2894、CVE-2020-2902、CVE-2020-2905、CVE-2020-2907、CVE-2020-2908、CVE-2020-2909、CVE-2020-2910、CVE-2020-2911、CVE-2020-2913、CVE-2020-2914、CVE-2020-2929、CVE-2020-2951、CVE-2020-2958、CVE-2020-2959（bsc#1169628）

遠端主機上執行的 Oracle VM VirtualBox 版本為早於 5.2.40 的 5.2.x、早於 6.0.20 的 6.0.x，或是早於 6.1.6 的 6.1.x。因此，該應用程式受到「2019 年 4 月重大修補程式更新」公告所述的多個弱點影響。請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼：

  - 處理傳送至 OHCI 端點的資料時，存在輸入驗證缺陷，可允許權限提升。(CVE-2020-2575)

  - Oracle Virtualization Core 元件中存在不明弱點。經驗證的本機攻擊者可利用此問題入侵及接管 Oracle VM VirtualBox。(CVE-2020-2742、CVE-2020-2758、CVE-2020-2894、CVE-2020-2905、CVE-2020-2908、CVE-2020-2902、CVE-2020-2907、CVE-2020-2911、CVE-2020-2913、CVE-2020-2914、CVE-2020-2929、CVE-2020-2958)

  - Oracle Virtualization Core 元件中存在不明弱點。經驗證的本機攻擊者可利用此問題，在未經授權的情況下存取重要資料，或完整存取所有 Oracle VM VirtualBox 可存取資料。(CVE-2020-2741、CVE-2020-2743)

  - Oracle Virtualization Core 元件中存在不明弱點。經驗證的本機攻擊者可利用此問題，在未經授權的情況下讀取存取 Oracle VM VirtualBox 可存取資料的子集。(CVE-2020-2748)

  - Oracle Virtualization Core 元件中存在不明弱點。經驗證的本機攻擊者可利用此問題，在未經授權的情況下建立、刪除或修改重要資料或所有 Oracle VM VirtualBox 可存取資料。
    (CVE-2020-2910)

  - Oracle Virtualization Core 元件中存在不明弱點。經驗證的本機攻擊者可利用此問題，從而未經授權即可造成 Oracle VM VirtualBox 部分拒絕服務 (部分 DOS)。(CVE-2020-2909)

  - Oracle Virtualization Core 元件中存在不明弱點。經驗證的本機攻擊者可利用此問題，從而未經授權即可造成 Oracle VM VirtualBox 懸置或經常重複性當機 (完全 DoS)。(CVE-2020-2959、CVE-2020-2951)

遠端主機受到 GLSA-202101-09 中所述的弱點影響 (VirtualBox：多個弱點)

    在 VirtualBox 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    攻擊者可接管 VirtualBox，進而導致以處理程序的權限執行任意程式碼、造成拒絕服務情形或其他不明影響。
  因應措施：

    目前尚無已知的因應措施。

远程主机上运行的 Oracle VM VirtualBox 版本为低于 5.2.40 的 5.2.x、低于 6.0.20 的 6.0.x，或低于 6.1.6 的 6.1.x。因此，该应用程序受到 2019 年 4 月关键修补程序更新公告中提及的多个漏洞的影响。请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号：

  - 处理发送至 OHCI 端点的数据过程中存在输入验证缺陷，可能造成权限提升。(CVE-2020-2575)

  - Oracle Virtualization Core 组件中存在不明漏洞。经过身份验证的本地攻击者可利用此问题，破坏并接管 Oracle VM VirtualBox。（CVE-2020-2742、CVE-2020-2758、CVE-2020-2894、CVE-2020-2905、CVE-2020-2908、CVE-2020-2902、CVE-2020-2907、CVE-2020-2911、CVE-2020-2913、CVE-2020-2914、CVE-2020-2929、CVE-2020-2958）

  - Oracle Virtualization Core 组件中存在不明漏洞。经过身份验证的本地攻击者可利用此问题，在未经授权的情况下访问关键数据，或完全访问所有 Oracle VM VirtualBox 可访问数据。（CVE-2020-2741、CVE-2020-2743）

  - Oracle Virtualization Core 组件中存在不明漏洞。经过身份验证的本地攻击者可利用此问题，在未经授权的情况下，对 Oracle VM VirtualBox 可访问数据子集进行读取访问。(CVE-2020-2748)

  - Oracle Virtualization Core 组件中存在不明漏洞。经过身份验证的本地攻击者可利用此问题，在未经授权的情况下创建、删除或修改对重要数据或所有 Oracle VM VirtualBox 可访问数据的访问权限。
    (CVE-2020-2910)

  - Oracle Virtualization Core 组件中存在不明漏洞。经过身份验证的本地攻击者可利用此问题，在未经授权的情况下，造成 Oracle VM VirtualBox 部分拒绝服务（部分 DOS）。(CVE-2020-2909)

  - Oracle Virtualization Core 组件中存在不明漏洞。经过身份验证的本地攻击者可利用此问题，在未经授权的情况下，造成 Oracle VM VirtualBox 挂起或频繁出现崩溃（完全 DOS）。（CVE-2020-2959、CVE-2020-2951）

远程主机受到 GLSA-202101-09 中所述漏洞的影响（VirtualBox：多个漏洞）

    已在 VirtualBox 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    攻击者可控制 VirtualBox，进而导致以进程权限执行任意代码、造成拒绝服务情况或其他不明影响。
  变通方案：

    目前无任何已知的变通方案。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
144923	GLSA-202101-09 : VirtualBox: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2021/1/13	2024/1/30	high
138722	openSUSE Security Update : Virtualbox (openSUSE-2020-925)	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	high
135586	Oracle VM VirtualBox (Apr 2020 CPU)	Nessus	Misc.	2020/4/15	2022/5/13	high
135586	Oracle VM VirtualBox（2020年4月CPU）	Nessus	Misc.	2020/4/15	2022/5/13	high
138722	openSUSEセキュリティ更新プログラム：Virtualbox（openSUSE-2020-925）	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	high
135586	Oracle VM VirtualBox (2020 年 4 月 CPU)	Nessus	Misc.	2020/4/15	2022/5/13	high
144923	GLSA-202101-09 : VirtualBox：多個弱點	Nessus	Gentoo Local Security Checks	2021/1/13	2024/1/30	high
135586	Oracle VM VirtualBox（2020 年 4 月 CPU）	Nessus	Misc.	2020/4/15	2022/5/13	high
144923	GLSA-202101-09 : VirtualBox：多个漏洞	Nessus	Gentoo Local Security Checks	2021/1/13	2024/1/30	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high