वर्चुअलबॉक्स ज़ीरो-डे कमजोरता सार्वजनिक हो जाती है, फिर भी कोई सुरक्षा पैच उपलब्ध नहीं है

ओरेकल VirtualBox

वर्चुअलबॉक्स में एक शून्य-दिन की भेद्यता का सार्वजनिक रूप से एक स्वतंत्र भेद्यता शोधकर्ता और शोषणकर्ता सेर्गेई ज़ेलेंयुक द्वारा खुलासा किया गया था। वर्चुअलबॉक्स एक प्रसिद्ध ओपन सोर्स्ड वर्चुअलाइजेशन सॉफ्टवेयर है जिसे ओरेकल द्वारा विकसित किया गया है। यह हाल ही में खोजी गई भेद्यता एक दुर्भावनापूर्ण प्रोग्राम को वर्चुअल मशीन से बचने और फिर मेजबान मशीन के ओएस पर कोड निष्पादित करने की अनुमति दे सकती है।

तकनीकी जानकारी

यह भेद्यता स्मृति भ्रष्टाचार के मुद्दों के कारण उत्पन्न होती है और NAT (नेटवर्क पता अनुवाद) सेट नेटवर्क मोड होने पर Intel PRO / 1000 MT डेस्कटॉप नेटवर्क कार्ड (E1000) को प्रभावित करती है।

यह समस्या OS प्रकार से स्वतंत्र है, जिसका उपयोग होस्ट और वर्चुअल मशीनों द्वारा किया जा रहा है क्योंकि यह एक साझा कोड बेस में रहता है।

इस भेद्यता की तकनीकी व्याख्या के अनुसार GitHub पर वर्णित है, भेद्यता वर्चुअलबॉक्स के सभी वर्तमान संस्करणों को प्रभावित करती है और वर्चुअल मशीन (वीएम) डिफ़ॉल्ट कॉन्फ़िगरेशन पर मौजूद है। भेद्यता एक दुर्भावनापूर्ण प्रोग्राम या एक हमलावर को प्रशासक के अधिकारों या अतिथि ओएस में रूट को होस्ट ऑपरेटिंग सिस्टम की एप्लिकेशन परत में मनमाना कोड को निष्पादित करने और बचने की अनुमति देता है। यह कम से कम विशेषाधिकारों के साथ उपयोगकर्ता कार्यक्रमों के बहुमत से कोड चलाने के लिए उपयोग किया जाता है। ज़ेलिन्युक ने कहा, 'E1000 में एक भेदी है जो एक हमलावर को रूट / व्यवस्थापक विशेषाधिकारों के साथ एक मेजबान रिंग 3 से बचने की अनुमति देता है। फिर हमलावर मौजूदा तकनीकों का उपयोग करके विशेषाधिकार को रिंग 0 / dev / vboxdvv के माध्यम से रिंग करने के लिए उपयोग कर सकता है।' Vimeo पर हमले का एक वीडियो प्रदर्शन भी जारी किया गया है।

संभावित समाधान

इस भेद्यता के लिए अभी तक कोई सुरक्षा पैच उपलब्ध नहीं है। ज़ेलिन्युक के अनुसार, उनका शोषण पूरी तरह से विश्वसनीय है जो उन्होंने Ubuntu संस्करण 16.04 और 18.04 × 86-46 मेहमानों पर परीक्षण के बाद संपन्न किया। हालांकि, वह यह भी सोचते हैं कि यह शोषण विंडोज प्लेटफॉर्म के खिलाफ भी काम करता है।

यद्यपि उसके द्वारा प्रदान किए गए शोषण को निष्पादित करना काफी कठिन है, उसके द्वारा दिए गए निम्नलिखित स्पष्टीकरण से उन लोगों को मदद मिल सकती है जो इसे काम करना चाहते हैं:

“अतिथि लिनक्स में लोड करने के लिए शोषण लिनक्स कर्नेल मॉड्यूल (LKM) है। Windows केस को एक आरकेबी लपर और कर्नेल एपीआई कॉल के द्वारा LKM से अलग एक ड्राइवर की आवश्यकता होगी।

दोनों ओएस में एक चालक को लोड करने के लिए उन्नत विशेषाधिकार की आवश्यकता होती है। यह एक सामान्य और अचूक बाधा नहीं माना जाता है। Pwn2Own प्रतियोगिता को देखें जहां शोधकर्ता शोषण श्रृंखलाओं का उपयोग करते हैं: एक ब्राउज़र ने अतिथि ओएस में एक दुर्भावनापूर्ण वेबसाइट खोली है जिसका शोषण किया जाता है, एक ब्राउज़र सैंडबॉक्स एस्केप फुल रिंग 3 एक्सेस हासिल करने के लिए बनाया गया है, एक ऑपरेटिंग सिस्टम भेद्यता का शोषण होता है रिंग से 0 की ओर जाने के लिए जहां कुछ भी हो आपको अतिथि OS के हाइपरविजर पर हमला करने की आवश्यकता है। सबसे शक्तिशाली हाइपरवाइज़र भेद्यताएं सुनिश्चित करने के लिए हैं जिनका अतिथि अंगूठी से फायदा उठाया जा सकता है। 3. वर्चुअलबॉक्स में ऐसा कोड भी है जो अतिथि रूट विशेषाधिकारों के बिना उपलब्ध है, और यह अभी तक ऑडिट नहीं हुआ है।

शोषण 100% विश्वसनीय है। इसका मतलब यह है कि यह या तो बेमेल या अन्य के कारण हमेशा या कभी नहीं काम करता है, और अधिक सूक्ष्म कारण जो मैं खाता नहीं था। यह कम से कम Ubuntu 16.04 और 18.04 x86_64 मेहमानों पर डिफ़ॉल्ट कॉन्फ़िगरेशन के साथ काम करता है। '

ज़ेलिन्युक ने भेद्यता की इस नवीनतम खोज के साथ सार्वजनिक रूप से जाने का फैसला किया क्योंकि वह 'इनफोसिस की समकालीन स्थिति, विशेष रूप से सुरक्षा अनुसंधान और बग बाउंटी के साथ असहमति' में था, जिसे उसने पिछले साल सामना किया था जब उसने जिम्मेदारी से वर्चुअलबॉक्स में दोष की सूचना दी थी। आकाशवाणी। जिस तरह से भेद्यता जारी करने की प्रक्रिया को विपणन किया जाता है और जिस तरह से उन्हें सुरक्षा शोधकर्ताओं द्वारा हर साल सम्मेलनों में उजागर किया जाता है, उससे उन्होंने नाराजगी भी व्यक्त की।

भले ही इस भेद्यता के लिए अभी तक कोई सुरक्षा पैच उपलब्ध नहीं है, फिर भी उपयोगकर्ता वर्चुअल मशीन से अपने नेटवर्क कार्ड को या तो Paravirtualized Network या PCnet में बदलकर खुद को इससे बचा सकते हैं।