2021-1543: Oracle Virtualization: Mehrere Schwachstellen ermöglichen u. a. die Kompromittierung der Software

Historie:

Version 1 (2021-07-21 14:23): Neues Advisory
Version 2 (2021-08-05 10:30): openSUSE veröffentlicht für openSUSE Leap 15.3 ein Sicherheitsupdate für 'virtualbox' auf die Version 6.1.24, um die in dieser Komponente enthaltenen, hier aufgeführten Schwachstellen zu beheben und zwei nicht sicherheitsrelevante Korrekturen umzusetzen.
Version 3 (2021-08-10 13:26): Für openSUSE Leap 15.2 steht ein Sicherheitsupdate für 'virtualbox' auf Version 6.1.26 bereit, um die in dieser Komponente enthaltenen, hier aufgeführten Schwachstellen zu beheben und zwei nicht sicherheitsrelevante Korrekturen umzusetzen.

Betroffene Software

Server
Sicherheit
Virtualisierung

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

In den Komponenten Server und Client von Oracle Secure Global Desktop 5.6 bestehen zwei Schwachstellen, die ein Angreifer ausnutzen kann, um die Software aus der Ferne vollständig zu kompromittieren. Die erfolgreiche Ausnutzung der Schwachstellen CVE-2021-2447 in der Komponente Server kann Einfluss auf andere Komponenten betroffener Systeme haben und erfordert übliche Privilegien.

Mehrere weitere Schwachstellen in der Komponente Core von Oracle VM VirtualBox vor Version 6.1.24 ermöglichen es einem Angreifer, lokal die betroffene Software zu kompromittieren, Denial-of-Service (DoS)-Angriffe durchzuführen sowie Lese- und Schreibzugriff auf einige der von der Software erreichbaren Daten zu erhalten. Mit Ausnahme von CVE-2021-2454 sind zur Ausnutzung erweiterte Privilegien erforderlich, CVE-2021-2454 erfordert lediglich geringe Privilegien.

Oracle stellt im Rahmen des Patchtags im Juli 2021 ein Sicherheitsupdate für Oracle Secure Global Desktop 5.6 sowie die Version 6.1.24 für Oracle VM VirtualBox bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2021-2409

Schwachstelle in Oracle VM VirtualBox ermöglicht Kompromittierung der Software

CVE-2021-2442

Schwachstelle in Oracle VM VirtualBox ermöglicht Denial-of-Service-Angriff

CVE-2021-2443

Schwachstelle in Oracle VM VirtualBox ermöglicht u. a. Denial-of-Service-Angriff

CVE-2021-2446

Schwachstelle in Oracle Secure Global Desktop ermöglicht Kompromittierung der Software

CVE-2021-2447