BDU:2021-00304 (CVE-2021-2129) — уязвимость компонента Core виртуальной машины Oracle VM VirtualBox

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Уязвимость компонента Core виртуальной машины Oracle VM VirtualBox существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации

Кого касается и что делать

• Уязвимое ПО: VM VirtualBox (Oracle) — версии до 6.1.18
• Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com

Сведения об уязвимости

Идентификаторы	BDU:2021-00304 · CVE-2021-2129
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.9; CVSS 2.0 — 6.2)
Вектор CVSS 3.1	AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N нужен локальный доступ, низкая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность и целостность
Наименование ФСТЭК	Уязвимость компонента Core виртуальной машины Oracle VM VirtualBox, позволяющая нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации
Даты	Опубликована: 26.01.2021 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 20.01.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

• VM VirtualBox (Oracle) — до 6.1.18 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• www.oracle.com/security-alerts/cpujan2021.html

Источники

• www.cybersecurity-help.cz/vdb/SB20210120100
• www.oracle.com/security-alerts/cpujan2021.html