Oracle VM VirtualBox: Out-of-Bounds-Schreibzugriff im PCNet-Netzwerkgerätemodell
Zusammenfassung
Eine Schwachstelle im emulierten PCNet-Netzwerkadapter (Am79C970A) von Oracle VM VirtualBox ermöglicht einen Out-of-Bounds-Schreibzugriff im Host-Prozess. Eine bösartige oder kompromittierte Gast-VM mit Zugriff auf diese virtuelle Netzwerkkarte kann angrenzende Gerätezustände auf dem Host verändern, was zu einem Ausbruch aus dem Gast auf den Host führen kann. Der CVSS-Score beträgt 9.1 (Kritisch), NVD hat die CVE jedoch noch nicht analysiert, und der Angriff setzt die Ausführung von Code innerhalb einer Gast-VM voraus.
Betroffen
- VirtualBox vor 7.2.8 gemäss CVE-Beschreibung
- VulDB meldet Versionen bis 7.2.7
- Ein Drittanbieter-Gist meldet VirtualBox 7.0.x bis 7.0.26; nicht vom Hersteller bestätigt
- Nur VMs mit dem PCNet-Adapter (Am79C970A) sind relevant
Behoben in
- Upgrade auf VirtualBox 7.2.8 oder neuer (gemäss CVE-Beschreibung und VulDB)
- Fix-Status der Zweige 7.0.x und 7.1.x: Unbekannt.
- Herstellerhinweis von Oracle: nicht verifiziert.
Umgehung
- Netzwerkadaptertyp betroffener VMs nach Tests von PCNet auf ein anderes virtuelles NIC-Modell ändern
- Einsatz nicht vertrauenswürdiger Gast-Workloads auf gemeinsam genutzten Hosts einschränken
- Offizieller Workaround von Oracle: Unbekannt.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn in den Quellen gefunden.
- Gemäss den gefundenen Quellen nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Die Angaben von VulDB zum Status und zur Ausnutzung widersprechen sich.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Alle VirtualBox-Installationen und deren Versionen inventarisieren, auch bei Kunden.
- Installationen unter 7.2.8 auf die neueste 7.2.x-Version aktualisieren.
- Prüfen, ob VMs den PCNet-Adapter verwenden, und diesen dort ändern, wo er nicht benötigt wird.
- Nicht vertrauenswürdige Gast-Workloads auf dedizierte Hosts beschränken.
- NVD und den CISA-KEV-Katalog in einer Woche erneut prüfen, da der NVD-Status noch ausstehend ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (Vulners NVD mirror) vulners.com
- VulDB entry vuldb.com
- Ubuntu security notice ubuntu.com
- Third-party gist with technical details gist.github.com
- VirtualBox old builds 7.0 (CVE reference) www.virtualbox.org
- Help Net Security: VirtualBox 7.2.8 released www.helpnetsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.