Oracle VM VirtualBox: Informationsoffenlegung und Denial of Service nach lokaler Anmeldung

Zusammenfassung

Die Core-Komponente von Oracle VM VirtualBox in Version 7.2.16 enthält eine Schwachstelle (CWE-200, Offenlegung von Informationen), die ein lokaler Benutzer mit niedrigen Rechten nach der Anmeldung am Host ausnutzen kann. Eine erfolgreiche Ausnutzung kann Zugriff auf kritische oder alle von VirtualBox zugänglichen Daten ermöglichen sowie einen Hänger oder wiederholbaren Absturz von VirtualBox verursachen; wegen der Scope-Änderung können sich die Auswirkungen auf weitere Produkte erstrecken. Oracle stuft die Schwachstelle mit CVSS 8.4 (High) ein, und laut Herstellermatrix ist eine Ausnutzung aus der Ferne ohne Authentifizierung nicht möglich.

Betroffen

• Oracle VM VirtualBox 7.2.16 (Core-Komponente), gemäss Oracle-Matrix des Critical Patch Update vom Oktober 2026
• Versionen vor der korrigierten Ausgabe gelten als betroffen; der genaue Bereich ist in den verfügbaren Quellen vom Hersteller nicht bestätigt

Behoben in

• Auf VirtualBox 7.2.22 oder den neuesten 7.2.x-Build aktualisieren. Das Tenable-Plugin nennt 7.2.18 als korrigierte Version, dies ist jedoch nicht bestätigt; vor dem Eintrag in einen Änderungsantrag die CSAF-Datei von Oracle prüfen.
• VirtualBox 7.1 wird seit dem 31. März 2026 nicht mehr gewartet und erhält diese Korrektur nicht.

Umgehung

• Kein Workaround des Herstellers bekannt. Die Korrektur ist ein Patch.
• Empfehlung der Analysten: Anmeldungen an VirtualBox-Hosts auf die notwendigen Konten beschränken.
• Empfehlung der Analysten: Berechtigungen zum Starten und Verwalten von VMs einschränken.
• Empfehlung der Analysten: VirtualBox auf gemeinsam genutzten Hosts bis zur Korrektur nicht betreiben.

Ausnutzung

• Keine Berichte über Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
• Oracle SSVC: keine Ausnutzung, nicht automatisierbar, teilweise technische Auswirkung.
• EPSS-Score 0.00147 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
• Status im CISA-KEV-Katalog nicht überprüft.

Unsere Empfehlung

• VirtualBox auf 7.2.22 oder den neuesten 7.2.x-Build aktualisieren, zusammen mit den übrigen VirtualBox-Schwachstellen des CPU vom Oktober 2026 (einschliesslich CVE-2026-87322 und CVE-2026-101598), in einem Wartungsfenster.
• Hosts mit VirtualBox 7.1 oder 7.2.16 identifizieren und ein Upgrade planen.
• Gemeinsam genutzte Entwickler-Workstations, Testserver und Mehrbenutzer-Hosts priorisieren; lokale Konten und VM-Verwaltungsrechte bis dahin einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update October 2026 www.oracle.com
• Ubuntu CVE-2026-87301 ubuntu.com
• Vulners NVD record CVE-2026-87301 vulners.com
• Tenable plugin VirtualBox CPU October 2026 vulners.com
• VirtualBox 7.2.22 release news (Linux Compatible) www.linuxcompatible.org
• VirtualBox news www.virtualbox.org
• Vulners OSV Ubuntu CVE-2026-87301 (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:15.