La società Oracle ha pubblicato una release correttiva del sistema di virtualizzazione VirtualBox 7.1.12, che include 11 modifiche e risolve 7 vulnerabilità. Alle tre problematiche più gravi è stato assegnato un livello di pericolo di 8.2 su 10:
- CVE-2025-53024 — un overflow intero nell'implementazione del dispositivo virtuale VMSVGA, che porta alla scrittura di dati oltre il buffer allocato durante l'elaborazione dei dati forniti dall'utente. Questa vulnerabilità consente a un utente privilegiato del sistema guest di eseguire codice a livello di hypervisor e accedere all'ambiente host.
- CVE-2025-53027 — uso scorretto dei lock nell'implementazione del controller virtuale OHCI USB, che consente di eseguire codice a livello di hypervisor tramite manovre sul sistema guest.
- CVE-2025-53028 — overflow del buffer nell'implementazione del dispositivo virtuale VMSVGA, che permette di eseguire codice a livello di hypervisor tramite manovre sul sistema guest.
Le vulnerabilità CVE-2025-53025 e CVE-2025-53026, a cui è stato assegnato un livello di pericolo di 6 su 10, portano a una fuoriuscita del contenuto residuo della memoria dei componenti dell'ambiente host a causa della mancanza di adeguata inizializzazione della memoria nei moduli LSILogic e BusLogic.
Modifiche non correlate alla sicurezza:
- Negli aggiornamenti per host e sistemi guest con Linux sono state apportate correzioni per supportare il kernel Linux 6.16 in fase di sviluppo.
- Negli aggiornamenti per sistemi guest con Linux sono stati risolti problemi che si presentavano utilizzando kernel Linux fino alla versione 3.10, così come kernel della serie 2.6.x.
- Negli aggiornamenti per sistemi host basati su Linux è stato risolto un problema che portava il kernel a uno stato di panic quando si utilizzavano ponti di rete con un'interfaccia di rete basata su driver ixgbe.
- Nel manager macchine virtuali Sono stati risolti problemi durante l'avvio nidificato di macchine virtuali.
- Nel NAT è stato corretto un errore che causava un crash durante l'avvio di macchine virtuali con nomi lunghi.
- Negli aggiornamenti per sistemi host basati su Windows è stata migliorata l'installazione dei driver e sono state aggiunte informazioni sui sistemi guest riguardo al supporto per le estensioni AVX/AVX2 quando si utilizza l'hypervisor Hyper-V. È stato risolto un problema che portava a un 'blue screen of death' durante la chiusura dell'interfaccia GUI di VirtualBox dopo la rimozione del pacchetto con i componenti di VirtualBox per ambienti host.
- È stato risolto un problema che impediva l'avvio di sistemi guest con Windows quando si attivava la registrazione dell'output nelle impostazioni dello schermo.
Fonte: opennet.ru
