■Virtual Box に脆弱性発覚
当サイトの
でも利用している、Virtual Box に脆弱性が発見されたらしい。
「VirtualBox」にゼロデイ脆弱性
~ロシアのセキュリティ研究者が“GitHub”で明らかに
https://forest.watch.impress.co.jp/docs/news/1152373.html
脆弱性が影響するのは、現行版の version でもある、
5.2.20 およびそれ以前のバージョン
ということらしい。
なお、本脆弱性が利用可能となる条件は、
・ネットワークアダプターの割り当てが NAT となっていること
・アダプタータイプが Intel PRO/1000 MT Desktop(82540EM)であること
ということらしい。
なお、これらを確認するには、
Virtual Box を起動後、
Kali Linux なり metasploitable2 なりの
仮想マシンを選択した状態で、
メイン画面にある
『設定』
をクリックし、
出てくるダイアログの左側メニューにある、
『ネットワーク』
を選択する。
その際出てくる、ネットワークアダプターの割り当て部分が、
NAT
となっており、かつ、
『高度』
と書かれているところをクリックすると下に出てくる、
『アダプタータイプ』
が
Intel PRO/1000 MT Desktop(82540EM)
となっていると、本脆弱性の影響を受ける模様。
NAT 以外を選んでおいたほうがよい。
注意すべき事項としては、推測ではあるが、
1 つでも条件にあてはまる仮想マシンがあれば、
その仮想マシン起動時に本脆弱性を受けるであろう、
ということ。
そしてもう一つは、
各仮想マシンで複数のネットワークアダプターを
利用している場合、一つでもこの条件に当てはまる
ネットワークアダプタがあれば、やっぱり
脆弱性の影響を受ける可能性があるということ。
ちゃんと調べていないのでなんとも言えない部分はあるが、
多分それを使っているときに影響を受けると思われる。
したがって、最も良いのは、
本脆弱性の影響を受けないバージョンに上げること
なのだが、現状の最新版である、
5.2.22 or 6.00-Beta
が本脆弱性の影響を受けないのかどうか、が
定かではない。
こういうの、困るんですよねぇ。
ということで、まずはやっぱり上述の対応を
しておいた上で、最新バージョンが出次第
アップデートを行う、というのが
一般ユーザーにできる最善の方法かもしれない。
私自身、ひとまず 6.00-beta に update してみたものの、
どうも extension pack も update しないといけない模様。
このあたりの方法については、
ちゃんと動くようになり次第記載する予定。
ひとまず、脆弱性を突く練習をするために
自分自身が脆弱性を突く攻撃の標的となっては
元も子もないので、対応しておくことをお勧めする。
Copyright (c) 2017 Webmaster of this site All Rights Reserved.