Oracle a publié une mise à jour corrective du système de virtualisation VirtualBox 7.1.12, qui apporte 11 modifications et corrige 7 vulnérabilités. Trois des problèmes les plus graves ont été classés avec un niveau de gravité de 8,2 sur 10 :
- CVE-2025-53024 — un dépassement d'entier dans l'implémentation du périphérique virtuel VMSVGA, entraînant un écriture de données en dehors du tampon alloué lors du traitement des données reçues de l'utilisateur. Cette vulnérabilité permet à un utilisateur privilégié du système invité d'exécuter du code au niveau de l'hyperviseur et d'accéder à l'environnement hôte.
- CVE-2025-53027 — une utilisation incorrecte des verrouillages dans l'implémentation du contrôleur USB OHCI virtuel, permettant d'exécuter son propre code au niveau de l'hyperviseur via des manipulations du système invité.
- CVE-2025-53028 — un dépassement de tampon dans l'implémentation du périphérique virtuel VMSVGA, permettant d'exécuter du code au niveau de l'hyperviseur via des manipulations du système invité.
Les vulnérabilités CVE-2025-53025 et CVE-2025-53026, classées avec un niveau de gravité de 6 sur 10, entraînent une fuite de contenu résiduel de la mémoire des composants de l'environnement hôte en raison d'une absence d'initialisation adéquate de la mémoire dans les modules LSILogic et BusLogic.
Modifications non liées à la sécurité :
- Des correctifs ont été apportés pour les hôtes et systèmes invités sous Linux afin de soutenir le noyau Linux 6.16 en développement.
- Des corrections ont été faites dans les compléments pour les systèmes invités sous Linux, résolvant des problèmes survenant lors de l'utilisation de noyaux Linux jusqu'à la version 3.10, ainsi que des noyaux de la série 2.6.x.
- Dans les compléments pour les systèmes hôtes basés sur Linux, un problème provoquant un état de panique du noyau lors de l'utilisation de ponts réseau avec une interface réseau basée sur le pilote ixgbe a été résolu.
- Dans le gestionnaire machines virtuelles Les problèmes rencontrés lors de l'exécution imbriquée de machines virtuelles ont été résolus.
- Une erreur dans le NAT, entraînant un échec lors du démarrage des machines virtuelles avec un nom long, a été corrigée.
- Dans les compléments pour les systèmes hôtes Windows, l'installation des pilotes a été améliorée et les systèmes invités sont informés du support des extensions AVX/AVX2 lors de l'utilisation de l'hyperviseur Hyper-V. Un problème provoquant l'apparition d'un « écran bleu de la mort » lors de la fermeture de l'interface graphique de VirtualBox après la désinstallation du package de composants VirtualBox pour environnements hôtes a été résolu.
- Un problème empêchant le démarrage des systèmes invités Windows lors de l'activation de l'enregistrement de sortie dans les paramètres d'écran a été résolu.
Source : opennet.ru
