BDU:2021-00432 (CVE-2021-2112) — уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox

По данным БДУ ФСТЭК России, по состоянию на 02.02.2021.

Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Кого касается и что делать

• Уязвимое ПО: VM VirtualBox (Oracle) — версии до 6.1.18
• Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com

Сведения об уязвимости

Идентификаторы	BDU:2021-00432 · CVE-2021-2112
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.0; CVSS 2.0 — 4.6)
Вектор CVSS 3.1	AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H нужен локальный доступ, низкая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 02.02.2021 · Обновлена ФСТЭК: 02.02.2021 · Выявлена: 19.01.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-264 — разрешения, привилегии и средства управления доступом
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

• VM VirtualBox (Oracle) — до 6.1.18 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• www.oracle.com/security-alerts/cpujan2021.html

Источники

• www.oracle.com/security-alerts/cpujan2021.html