Luka w VirtualBoksie pozwala wyjść poza maszynę wirtualną i zaatakować hosta

Zła wiadomość dla osób korzystających z maszyn wirtualnych za pośrednictwem popularnego oprogramowania VirtualBox. Rosyjski analityk bezpieczeństwa odkrył w programie luki, które pozwalają opuścić szkodliwemu oprogramowaniu teoretycznie bezpieczne środowisko maszyny wirtualnej i dostać się do komputera-hosta. Tam program będzie miał co prawda z początku ograniczone uprawnienia, ale istnieje możliwość wykorzystania innych luk, by je zwiększyć i docelowo zagrozić głównemu systemowi.

Na problem zwraca uwagę serwis ZDNet, a szczegółowe wyjaśnienie luk pojawiło się na GitHubie. Analityk zwraca uwagę, że problem jest realny wówczas, gdy użytkownik VirtualBoksa stosuje wirtualną kartę sieciową Intel PRO/1000 MT Desktop (82540EM) w trybie NAT. To bowiem od jej sterowników zależy wspomniane podwyższenie uprawnień aplikacji, której uda się wydostać poza standardowe środowisko maszyny wirtualnej.

Opisywane luki mają dotyczyć wszystkich wersji oprogramowania VirtualBox, włącznie z najnowszą na tę chwilę edycją oznaczoną numerem 5.2.20 i są niezależne od wykorzystywanych systemów operacyjnych. Analityk wyjaśnia, że wcześniej nie informował firmy Oracle (będącej producentem VirtualBoksa) o opisywanym problemie.

Jak dodaje, w ramach programu BigBounty analitycy bezpieczeństwa muszą odczekać ponad miesiąc od zgłoszenia, by w ogóle dowiedzieć się, czy ich odkrycie jest warte pieniędzy Oracle, a ze swojej decyzji producent może się wycofać w każdej chwili. W praktyce na załatanie luk czeka się przy tym ponad pół roku, a niektóre przypadki trwają nawet dwa razy dłużej.

Publikując informacje o błędach, analityk ma nadzieję na szybszą reakcję producenta. Do czasu wydania łatek użytkownicy muszą się jednak zabezpieczyć sami. Sugerowana jest tu zmiana trybu NAT na inny oraz kart sieciowych maszyn wirtualnych na PCnet lub skorzystanie z sieci parawirtualizowanej.

Zmian można dokonać z poziomu ustawień danej maszyny wirtualnej w zakładce Sieć. Zmiana trybu NAT dostępna jest od razu, zaś wybór typu karty jest widoczny po wyświetleniu opcji zaawansowanych. Zainteresowanych szczegółami luk w VirtualBoksie z pewnością zainteresują obszerne wyjaśnienia, które zostały zamieszczone na GitHubie.