VirtualBox z poważną luką - oto jak się zabezpieczyć

VirtualBox od Oracle to zdecydowanie najpopularniejszy menedżer maszyn wirtualnych. Ma miliony użytkowników, którzy – jak wynika z najnowszych informacji – mogą być narażeni na niebezpieczeństwo. 

Poważna luka w VirtualBox

Specjalista ds. cyberbezpieczeństwa z Petersburga nazwiskiem Sergey Zelenyuk opublikował informacje na temat luki typu 0-day, znajdującej się we wszystkich wersjach programu VirtualBox (nie wyłączając z tego grona najnowszej – 5.2.20).

Exploit pozwala atakującemu na uzyskanie dostępu do maszyny głównej i wykonywanie poleceń w jej systemie operacyjnym, jeśli tylko spełnionych zostanie kilka wymogów i to niestety wcale nie szczególnie trudnych do spełnienia.

Otóż potrzebny jest dostęp do roota na maszynie wirtualnej, niezależnie od systemu, stworzonej ze standardowymi ustawieniami: z kartą sieciową Intel PRO/1000 MT Desktop (82540EM) w trybie NAT. Więcej szczegółów można znaleźć na GitHubie.

Jak się zabezpieczyć?

Sensowną opcją (przynajmniej do czasu załatania luki) wydaje się zmiana programu do obsługi maszyn wirtualnych. Zdajemy sobie jednak sprawę z tego, że dla wielu osób byłby to problem. Dlatego też można spróbować czegoś innego.

Ze względu bowiem na to, że podatność została stwierdzona tylko we wspomnianym, konkretnym przypadku, najprostszym sposobem na zabezpieczenie się jest zmiana ustawień. Przede wszystkim należałoby zmienić tryb NAT na inny.

O luce usłyszeliśmy, bo Zelenyuk się wkurzył

Zwykle tego typu luki są łatane po cichu. Sergey Zelenyuk nie zdecydował się jednak na poinformowanie samego Oracle i (być może) zgarnięcie nagrody finansowej, ponieważ nie podoba mu się, jak wygląda cały ten proces.

Wcześniej zgłosił bowiem podobną podatność firmie Oracle i na wyeliminowanie jej musiał czekać wiele miesięcy. Rosjanin ma nadzieję, że upublicznienie informacji zadziała na producenta motywująco. A co w ogóle zajmuje tyle czasu? Ano między innymi konieczność weryfikacji oraz ustalenia, czy i jak duża nagroda należy się „odkrywcy”. 

Źródło: ZDNet, Bleeping Computer, GitHub. Foto: Pixies/Pixabay (CC0)