Die Virtualisierungssoftware VirtualBox von Oracle soll unter allen Betriebssystemen verwundbar sein.

Ein Angreifer kann mit den richtigen Voraussetzungen aus einer VM ausbrechen und Code im Hostsystem ausführen. Da der Entdecker der Lücke die Infos Oracle vorab nicht mitgeteilt hat, ist eine abgesicherte Version noch nicht in Sicht. Dennoch gibt es Möglichkeiten sich zu schützen.

Diese Art der Offenlegung verstößt gegen die Responsible-Disclosure-Richtlinie. Um reparierte Versionen von verwundbarer Software veröffentlichen zu können, sollten Softwarehersteller normalerweise vor der Öffentlichkeit von Sicherheitslücken erfahren.

Der Sicherheitsforscher hat sich in diesem Fall hat sich bewusst dagegen entschieden, weil er generell mit der Vorgehensweise von Oracle nach dem Melden von Bugs unzufrieden ist. Dieses und ausführliche Details zur Lücke führt er auf Github aus. Die Lücke wurde noch keiner CVE-Nummer zugeteilt. Eine Bewertung des Angriffsrisikos steht ebenfalls noch aus.

Alle VirtualBox-Ausgaben in den Standardeinstellungen bis einschließlich 5.2.20 auf allen Betriebssystemen sollen bedroht sein. Das voreingestellte virtuelle Netzwerkgerät Intel PRO/1000 MT Desktop (82540EM) im NAT-Modus bildet den Angriffspunkt.

Ein Angreifer muss als Admin in einer VM aktiv sein, damit eine Attacke erfolgreich ist. Mit vergleichsweise viel Aufwand soll er dann Speicherfehler auslösen und letztlich mit niedrigen Nutzerrechten (Ring 3) im Host landen. Er könnte sich dann von dort über weitere, nicht weiter ausgeführte, Schwachstellen höhere Rechte aneignen. Der Sicherheitsforscher hat eigenen Angaben zufolge jenes erfolgreich unter den x86- und x64-Versionen von Ubuntu 16.04 und 18.04 ausprobiert.

Um das System vor Angriffen dieser Art zu schützen, muss lediglich eine anderes virtuelles Netzwerkgerät als das Voreingestellte auswählen. Es bleibt abzuwarten, wie Oracle auf das Problem reagiert.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE