Oracle · VirtualBox
CVE-2008-3431
Oracle VirtualBox Insufficient Input Validation Vulnerability
Τι είναι
The VBoxDrvNtDeviceControl function in VBoxDrv.sys in Sun xVM VirtualBox before 1.6.4 uses the METHOD_NEITHER communication method for IOCTLs and does not properly validate a buffer associated with the Irp object, which allows local users to gain privileges by opening the \\.\VBoxDrv device and calling DeviceIoControl to send a crafted kernel address.
CISA: An input validation vulnerability exists in the VBoxDrv.sys driver of Sun xVM VirtualBox which allows attackers to locally execute arbitrary code.
Τι να κάνετε
Apply updates per vendor instructions.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 24 Μαρτίου 2022
- Προστέθηκε στη λίστα της CISA
- 3 Μαρτίου 2022
- Δημοσιεύθηκε
- 5 Αυγούστου 2008
- Σοβαρότητα
- Υψηλή 8,8 CVSS 3.1
- Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS)
- 6,9% στο κορυφαίο 6,0% όλων των γνωστών ευπαθειών
- Τύπος αδυναμίας
- CWE-264
- Περισσότερες λεπτομέρειες
- NVD · CVE.org · CISA
Όλες οι πηγές (11)
- http://sunsolve.sun.com/search/document.do?assetkey=1-66-240095-1
- http://www.securityfocus.com/bid/30481
- http://securityreason.com/securityalert/4107
- https://www.exploit-db.com/exploits/6218
- http://secunia.com/advisories/31361
- http://www.coresecurity.com/content/virtualbox-privilege-escalation-vulnerability
- https://exchange.xforce.ibmcloud.com/vulnerabilities/44202
- http://www.vupen.com/english/advisories/2008/2293
- http://virtualbox.org/wiki/Changelog
- http://securitytracker.com/id?1020625
- http://www.securityfocus.com/archive/1/495095/100/0/threaded
Περισσότερα κενά ασφαλείας της Oracle που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 24 Αυγ 2026 | Improper Access Control | HTTP Server and Oracle Weblogic Server Proxy Plug-in | Κρίσιμη 10,0 | 73% |
| 15 Ιουλ 2026 | Improper Privilege Management | E-Business Suite | Κρίσιμη 9,8 | 12% |
| 12 Ιουν 2026 | PeopleSoft Enterprise PeopleTools Missing Authentication for Critical Function | PeopleSoft Enterprise PeopleTools | Κρίσιμη 9,8 | 97% |
| 1 Ιουν 2026 | Unspecified | WebLogic Server | Υψηλή 7,5 | 74% |
| 21 Νοε 2025 | Missing Authentication for Critical Function | Fusion Middleware | Κρίσιμη 9,8 | 89% |
| 20 Οκτ 2025 | Server-Side Request Forgery (SSRF) | E-Business Suite | Υψηλή 7,5 | 96% |
| 6 Οκτ 2025 | Unspecified | E-Business Suite | Κρίσιμη 9,8 | 99,7% |
| 24 Φεβ 2025 | Deserialization | Agile Product Lifecycle Management (PLM) | Υψηλή 8,8 | 3,9% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.