Aktualisierung auf VirtualBox 7.1.12

Die Firma Oracle hat ein Korrektur-Release des Virtualisierungs-Systems VirtualBox 7.1.12 veröffentlicht, das 11 Änderungen und die Behebung von 7 Sicherheitsanfälligkeiten bietet. Den drei schwerwiegendsten Problemen wurde ein Gefährdungsgrad von 8,2 von 10 zugewiesen:

• CVE-2025-53024 – eine Ganzzahlüberlauf-Anfälligkeit in der Implementierung des virtuellen VMSVGA-Geräts, die dazu führt, dass Daten über den zugewiesenen Puffer hinausgeschrieben werden, wenn Benutzerdaten verarbeitet werden. Diese Sicherheitsanfälligkeit ermöglicht es einem privilegierten Benutzer des Gast-Systems, Code auf Hypervisor-Ebene auszuführen und Zugriff auf die Host-Umgebung zu erlangen.
• CVE-2025-53027 – unsachgemäße Verwendung von Locks in der Implementierung des virtuellen OHCI USB-Controllers, die es ermöglicht, durch Manipulationen im Gast-System eigenen Code auf Hypervisor-Ebene auszuführen.
• CVE-2025-53028 – ein Pufferüberlauf in der Implementierung des virtuellen VMSVGA-Geräts, der durch Manipulationen im Gast-System das Ausführen von Code auf Hypervisor-Ebene ermöglicht.

Die Sicherheitsanfälligkeiten CVE-2025-53025 und CVE-2025-53026, die einen Gefährdungsgrad von 6 von 10 erhalten haben, führen zu einem Leck von restlichem Speicherinhalt der Host-Umgebungskomponenten aufgrund unzureichender Initialisierung des Speichers in den Modulen LSILogic und BusLogic.

Nicht sicherheitsbezogene Änderungen:

• In den Ergänzungen für Host- und Gast-Systeme mit Linux wurden Korrekturen zur Unterstützung des in Entwicklung befindlichen Linux-Kernels 6.16 vorgenommen.
• In den Ergänzungen für Gast-Systeme mit Linux wurden Probleme behoben, die bei der Verwendung von Linux-Kernen vor der Version 3.10 sowie mit Kernen der Serie 2.6.x auftraten.
• In den Ergänzungen für Host-Systeme auf Basis von Linux wurde ein Problem behoben, das das Kernel in einen Panic-Zustand versetzte, wenn Netzwerkbrücken mit einer Netzwerkschnittstelle auf Basis des Treibers ixgbe genutzt wurden.
• Im Manager virtuelle Maschinen Probleme beim verschachtelten Start von virtuellen Maschinen wurden gelöst.
• Im NAT wurde ein Fehler behoben, der zu einem Absturz beim Start von virtuellen Maschinen mit langen Namen führte.
• In den Ergänzungen für Host-Systeme auf Basis von Windows wurde die Treiberinstallation verbessert und die Information für Gast-Systeme zur Unterstützung der AVX/AVX2-Erweiterungen bei Verwendung des Hypervisors Hyper-V hinzugefügt. Ein Problem, das zum sogenannten 'blauen Bildschirm des Todes' führte, wurde behoben, wenn die GUI von VirtualBox nach der Entfernung des Pakets mit Komponenten für Host-Umgebungen geschlossen wurde.
• Ein Problem wurde behoben, das das Starten von Gast-Systemen mit Windows verhinderte, wenn die Ausgabeaufzeichnung in den Bildschirm-Einstellungen aktiviert war.

Quelle: opennet.ru