Ядро Oracle VM VirtualBox позволяет перехватить контроль над программой и вызвать удалённый отказ в обслуживании

Oracle закрыла 19 уязвимостей в Oracle VM VirtualBox. Все они затрагивают версию 7.2.16 и сосредоточены в компоненте Core, который отвечает за базовые механизмы виртуализации. Последствия разные: часть проблем ведёт к захвату программы и системы, где она запущена, часть открывает чтение чужих данных, часть позволяет обрушить виртуальную машину. Две уязвимости дают возможность устроить отказ в обслуживании по сети, причём одна из них не требует учётной записи на атакованном компьютере. Оценки по шкале CVSS (общая система оценки уязвимостей) укладываются в диапазон от 3,2 до 8,6 балла.

Детали уязвимостей

Суть большинства проблем в том, что виртуальная машина перестаёт быть изолированной. Пять уязвимостей с оценкой 7,8 балла каждая позволяют пользователю с обычными правами, уже вошедшему в систему, забрать контроль над VirtualBox. Эти пять работают только на хостах с Windows, то есть на компьютерах под управлением этой операционной системы, где запущена виртуализация. Отдельно стоит уязвимость CVE-2026-87273 с самым высоким баллом 8,6. Здесь атакующему не нужна учётная запись, но требуется, чтобы кто-то другой совершил действие в программе. Успешная атака выходит за пределы VirtualBox и затрагивает другие продукты на той же машине.

Ещё две уязвимости связаны с протоколом удалённого рабочего стола RDP (средство удалённого доступа к рабочему столу). Обе приводят к зависанию или повторяющимся сбоям программы. Первая, с оценкой 7,5 балла, срабатывает без аутентификации: достаточно дотянуться до открытого порта. Вторая, на 5,3 балла, требует низкопривилегированной учётной записи и выполняется сложнее. Кроме того, несколько уязвимостей среднего уровня дают возможность менять или удалять данные внутри виртуальной машины, а также вызывать частичный отказ в обслуживании. Две проблемы с низкими оценками 3,2 балла позволяют читать небольшой объём данных и требуют прав администратора.

Кого это касается в первую очередь. VirtualBox стоит на рабочих станциях разработчиков, тестировщиков и администраторов, а также на серверах, где он заменяет полноценные гипервизоры. Для специалистов по безопасности программа ценна именно изоляцией: в ней запускают образцы вредоносного ПО, исследуют подозрительные файлы, воспроизводят чужие конфигурации. Когда уязвимость позволяет выбраться из гостевой системы на хост, изоляция теряет смысл. Аналитик, открывший образец в виртуальной машине, рискует отдать злоумышленнику свою рабочую станцию вместе с учётными данными, доступом к внутренней сети и документами.

Риск усиливается тем, что захват хост-машины часто становится первым шагом к более широкой атаке. С рабочей станции администратора злоумышленник может перейти к серверам, к которым у неё есть доступ, а боковое перемещение внутри сети редко оставляет заметные следы. Через RDP-уязвимости, в свою очередь, можно надолго вывести из строя лабораторный стенд или тестовый контур, что остановит проверки и релизы. Сведений о применении этих уязвимостей в реальных атаках пока нет. Все проблемы требуют либо локального доступа, либо сетевого подключения к конкретной службе, поэтому массовые кампании на их основе маловероятны. Но для целевой атаки на конкретную организацию такой набор подходит хорошо.

Исправления Oracle собрала в сентябрьском бюллетене безопасности, опубликованном 15 сентября. Уведомление французского центра реагирования на компьютерные атаки, вышедшее днём позже, отсылает пользователей к этому документу. Уязвимой признана версия 7.2.16, поэтому обновление до свежего выпуска закрывает весь список. Промедление здесь опаснее обычного: часть проблем эксплуатируется с низкими привилегиями, а значит, любой сотрудник с учётной записью на нужной машине может стать источником компрометации.

Пока обновление не установлено, разумно сократить поверхность атаки. Стоит закрыть доступ к RDP-службе VirtualBox из недоверенных сетей и оставить её только для служебных задач. Запускать виртуальные машины лучше не от имени администратора, а от отдельной учётной записи с минимальными правами. Образы и конфигурации, полученные извне, полезно проверять до открытия. Лабораторные стенды, где исследуют вредоносный код, имеет смысл размещать на отдельных машинах, не связанных с рабочими системами и внутренней сетью.

История с ядром VirtualBox повторяет знакомую картину: гипервизор остаётся привлекательной целью, потому что за ним лежит всё остальное содержимое компьютера. Ошибки в базовых механизмах виртуализации встречаются редко, но закрывать их нужно быстро. Регулярное обновление здесь важнее любых дополнительных средств защиты.

Детали уязвимостей

Ссылки