Oracle ha pubblicato una release correttiva del sistema di virtualizzazione VirtualBox 7.1.12, che propone 11 modifiche e risolve 7 vulnerabilità. Tre dei problemi più gravi sono stati classificati con un livello di pericolo di 8.2 su 10:
- CVE-2025-53024 — un overflow intero nell'implementazione del dispositivo virtuale VMSVGA, che porta alla scrittura di dati oltre il buffer allocato durante l'elaborazione dei dati forniti dall'utente. La vulnerabilità consente a un utente privilegiato del sistema ospite di eseguire codice a livello di hypervisor e accedere all'ambiente host.
- CVE-2025-53027 — uso scorretto dei lock nell'implementazione del controller virtuale OHCI USB, che consente di eseguire il proprio codice a livello di hypervisor tramite manipolazioni del sistema ospite.
- CVE-2025-53028 — overflow del buffer nell'implementazione del dispositivo virtuale VMSVGA, che consente di eseguire codice a livello di hypervisor tramite manipolazioni del sistema ospite.
Le vulnerabilità CVE-2025-53025 e CVE-2025-53026, con un livello di pericolo di 6 su 10, portano alla fuoriuscita di contenuti residuali della memoria dai componenti dell'ambiente di hosting a causa della mancanza di corretta inizializzazione della memoria nei moduli LSILogic e BusLogic.
Modifiche non relative alla sicurezza:
- Nei supplementi per host e sistemi guest con Linux sono state apportate correzioni per supportare il kernel Linux 6.16 in fase di sviluppo.
- Nei supplementi per i sistemi guest con Linux sono stati risolti problemi riscontrati durante l'utilizzo di kernel Linux precedenti alla versione 3.10, oltre ai kernel della serie 2.6.x.
- Nei supplementi per i sistemi host basati su Linux è stato risolto un problema che causava un panic del kernel quando si utilizzavano bridge di rete con interfacce di rete basate sul driver ixgbe.
- Nel gestore di macchine virtuali Sono stati risolti i problemi durante l'avvio in modo annidato delle macchine virtuali.
- NAT ha corretto un errore che causava il fallimento all'avvio di macchine virtuali con nomi lunghi.
- Nelle aggiunte per i sistemi di hosting basati su Windows, è migliorata l'installazione dei driver e sono state aggiunte informazioni ai sistemi guest riguardo il supporto delle estensioni AVX/AVX2 utilizzando il hypervisor Hyper-V. È stato risolto un problema che portava alla "schermata blu della morte" durante la chiusura dell'interfaccia grafica di VirtualBox dopo la rimozione del pacchetto con i componenti VirtualBox per gli ambienti host.
- È stato risolto un problema che impediva l'avvio dei sistemi guest con Windows quando era abilitata la registrazione dell'output nelle impostazioni dello schermo.
Fonte: opennet.ru
