PT-2020-2646

CVE-2020-2748

Publicado

2020-03-03

Atualizado

2021-02-25

Descrição por

CVSS 3.1

3.2

Baixa

MétricasAV:L/AC:L/PR:H/UI:N/S:C/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Oracle VM VirtualBox anteriores à 5.2.40

Versões do Oracle VM VirtualBox anteriores à 6.0.20

Versões do Oracle VM VirtualBox anteriores à 6.1.6

Descrição

O problema está relacionado ao produto Oracle VM VirtualBox, especificamente ao componente Core. Ele permite que um invasor com privilégios elevados, que tenha acesso à infraestrutura onde o Oracle VM VirtualBox é executado, comprometa o Oracle VM VirtualBox, resultando potencialmente em acesso de leitura não autorizado a um subconjunto de dados acessíveis do Oracle VM VirtualBox. A vulnerabilidade pode afetar significativamente outros produtos. A função vmsvgaR3FifoUpdateCursor da máquina virtual está associada a uma falta de proteção dos dados de serviço, o que pode ser explorado para obter acesso não autorizado a informações protegidas.

Recomendações

Para versões anteriores à 5.2.40, atualize para a versão 5.2.40 ou posterior.

Para versões anteriores à 6.0.20, atualize para a versão 6.0.20 ou posterior.

Para versões anteriores à 6.1.6, atualize para a versão 6.1.6 ou posterior.

Como solução temporária, considere restringir o acesso à função vmsvgaR3FifoUpdateCursor até que um patch esteja disponível.

Explorabilidade

Correção

Impactos

Pesquisadores

Anhdaden

Calvin Fong

Lord_Idiot