Oracle VM VirtualBox: Unzureichende Zugriffskontrolle in Core-Komponente
Zusammenfassung
Ein Fehler in der Core-Komponente von Oracle VM VirtualBox (CWE-284, unzureichende Zugriffskontrolle) erlaubt einem Angreifer, VirtualBox zu übernehmen. Der Angreifer benötigt Zugriff auf das physische Kommunikationssegment des Hosts aus dem angrenzenden Netzwerk sowie hohe Privilegien. Da der Scope geändert wird, kann sich die Auswirkung über VirtualBox hinaus erstrecken, mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1: 8.4).
Betroffen
- Oracle VM VirtualBox 7.2.20 (betroffene Version gemäss CVE-Eintrag und Risikomatrix von Oracle)
- VirtualBox 7.1 hat den Wartungssupport am 31. März 2026 verloren. Ob 7.1 betroffen ist, ist unbekannt.
Behoben in
- VirtualBox 7.2.22 (behobene Version, die ein Drittanbieter-Nessus-Plugin zuordnet; vor dem Rollout im Advisory von Oracle für die October-2026-CPU bestätigen)
- Die geprüften Quellen von Oracle nennen für diese CVE im eigenen Text keine behobene Version.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Allgemeine Härtung: Zugriff auf das physische Netzwerksegment des Hosts einschränken und Administratorrechte auf dem Host begrenzen.
Ausnutzung
Unbekannt. Es wurde keine Ausnutzung in freier Wildbahn, kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV gefunden; diese Prüfungen waren jedoch nicht erschöpfend. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle VirtualBox-Installationen inventarisieren, einschliesslich Installationen von 7.1.
- 7.2-Installationen auf 7.2.22 oder neuer aktualisieren, nachdem die behobene Version im Advisory von Oracle geprüft wurde. 7.1-Installationen auf 7.2 migrieren.
- Prüfen, ob VirtualBox-Hosts in vertrauenswürdigen Netzwerken stehen und Administratorrechte begrenzt sind.
- CISA KEV und öffentliche Proof-of-Concept-Quellen erneut prüfen.
- Priorität: für die meisten KMU mittel. Erhöhen, wenn Hosts in gemeinsam genutzten oder Gast-Netzwerken stehen oder nicht aktualisiert werden können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 Critical Patch Update www.oracle.com
- Oracle CPU blog, October 2026 blogs.oracle.com
- Ubuntu CVE tracker ubuntu.com
- NVD record mirror (Vulners) vulners.com
- Nessus plugin mirror for VirtualBox 7.2.22 (Vulners) vulners.com
- Linux Compatible: VirtualBox 7.2.22 release www.linuxcompatible.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.