virtualbox 已更新至 5.0.18 版，也可修正下列問題：

5.0.18 的版本升級 (2016 年 4 月 18 日由 Oracle 發佈) 這是維護版本。下列項目已修正和/或新增：GUI：
將超出螢幕的視窗放置於重新啟動時可再次完整顯示的位置，與預設行為一致 (錯誤 #15226) GUI：修正 Mac OS X El Capitan 上的 [檢視] 功能表 / 全螢幕模式行為 GUI：修正允許以空白密碼加密硬碟的測試 GUI：
修正 VM 關機期間特定情況下的損毀 GUI：修正進入群組時 VM 選取器中的 VM 清單捲動軸大小 PC 喇叭通道：修正 (僅限 Linux 主機；錯誤 #627) 拖放：數個修正 SATA：修正使用 EFI 時的熱插拔旗標處理 儲存空間：修正使用 SCSI 控制器對加密磁碟影像的處理 (錯誤 #14812) 儲存空間：修正使用 BusLogic SCSI 控制器時 Solaris 7 可能發生的損毀情形 USB：正確從 USB 字串中清除非 ASCII 字元 (錯誤 #8801、#15222) NAT 網路：修正特定情況下 Mac OS X 中的 VBoxNetNAT 100% CPU 負載問題 (錯誤#15223) ACPI：修正 ACPI 表格，使其能夠再次顯示色彩管理設定，以用於舊版 Windows 版本 (4.3.22 迴歸) 來賓控制：修正 VBoxManage copyfrom 命令 (錯誤 #14336) 快照：修正移除較舊快照時的數個問題 (錯誤 #15206) VBoxManage：修正 guestcontrol 命令的 --verbose 輸出 Windows 主機：強化最近 Windows 10 內部版本所需要的修正 (錯誤 #15245、#15296) Windows 主機：
修正橋接網路的 jumbo 框架支援 (5.0.16 迴歸；錯誤 #15209) Windows 主機：如果安裝僅限主機的介面卡，則不禁止接收多點傳送流量 (錯誤 #8698) Linux 主機：新增建立原始磁碟時對於 NVME 磁碟新命名配置的支援 Solaris 主機 / 來賓：正確簽署核心模組 (錯誤 #12608) Linux 主機 / 來賓：Linux 4.5 修正 (錯誤 #15251) Linux 主機 / 來賓：Linux 4.6 修正 (錯誤 #15298) Linux Additions：新增核心圖形驅動程式以於 X.Org 沒有 root 權限時支援圖形 (錯誤 #14732) Linux/Solaris Additions：
修正造成 Linux/Solatis 來賓在可使用 3D 加速時透過軟體轉譯的數個問題 Windows Additions：修正停用 Aero 時 PowerPoint 2010 與 WDDM 驅動程式的懸置問題

其他錯誤修正：

- 修正 vboxadd 服務常式的啟動失敗 此指令碼之所以會失敗，是因為 /var/lib/VBoxGuestAdditions/config 不存在所導致；但是，並不需要此檔案。已修改該服務常式。(boo#977328)。

- 新增正確 fbdev 支援的掃描輸出緩衝區基礎與大小的遺漏初始化。

- 新增 delayed_io in fbdev-layer 的支援。(boo#977200)。

- 此提交修正了 VB 5.0.18 中的錯誤，該錯誤會防止正確操作設定為針對磁碟使用 LsiLogic 介面卡的來賓 VM。請參閱票證：
https://www.virtualbox.org/ticket/15317 瞭解問題的描述，以及變更集：
https://www.virtualbox.org/changeset/60565/vbox 取得修正，其在檔案「changeset_60565.diff」中實作。此更新中包含 CVE-2016-0678 的修正。錯誤報告 boo#976636 討論了此弱點。

Virtualbox 已更新至 5.0.20 版，可修正下列問題：

5.0.20 的版本升級 (2016 年 4 月 28 日由 Oracle 發佈) 這是維護版本。下列項目已修正和/或新增：

- NAT 網路：檔案 VBoxNetNAT 不再需要 suid

- 儲存空間：修正一個會造成 BIOS 提出寫入要求的迴歸，而使 LsiLogic SCSI 控制器發生 Guru Meditation (5.0.18 迴歸；錯誤 #15317)

- 儲存空間：BusLogic SCSI 控制器模擬中的數個模擬修正

- NAT 網路：支援 DNS 代理伺服器中的 TCP (NAT 的錯誤 #14736 也有相同問題)

- NAT：重新執行連接埠轉送規則的處理 (錯誤 #13570)

- NAT：重寫主機解析器，以處理更多查詢類型並使其非同步，如此停止的查閱才不會封鎖所有 NAT 流量

- 快照：將網路介面卡多於目前狀態 (即快照使用 ICH9 而目前狀態使用 PIIX3 時) 的快照進行還原時，不會造成損毀

- 來賓控制：copyfrom 和 copyto 命令/API 的多種錯誤修正 (錯誤 #14336)

- VBoxManage：在 hostinfo 清單上列出處理器功能 (錯誤 #15334)

- Linux 主機：CONFIG_NET_CLS_ACT 已啟用時 Linux 4.5 的修正 (錯誤 #15327)

- Windows Additions：修正 Aero 停用時的 PowerPoint 2010 效能問題及 WDDM 圖形驅動程式

錯誤修正：

- 套用適當的 boo#964765 修正，該問題原本會造成使用 NAT 網路附件的來賓 VM 無法取得網路存取權。基本問題是 /usr/lib/virtualbox/VBoxNetNAT 檔案必須具備 suid 權限，而規格檔無法設定適當的權限。 

 - 在 openSUSE 13.2 中實作 VirtualBox 5.0.18 版。
 在此之前，oS 13.2 一直使用 4.3.X 版，其為 13.2 發佈時的 VB 系列。此原則已變更，13.2 版現已納入 CVE-2016-0678 的修正。錯誤報告 b.o.o #97366 有此弱點的討論。此提交也修正了 VB 5.0.18 中的錯誤，該錯誤原本會防止正確操作設為針對磁碟使用 LsiLogic 介面卡的來賓 VM。
 如需問題描述，請參閱票證：https://www.virtualbox.org/ticket/15317；如需「changeset_60565.diff」檔案中實作的修正相關資訊，
請參閱：https://www.virtualbox.org/changeset/60565/vbox。

5.0.18 的版本升級 (2016 年 4 月 18 日由 Oracle 發佈) 這是維護版本。下列項目已修正和/或新增：

- GUI：將超出螢幕的視窗放置於重新啟動時可再次完整顯示的位置，與預設行為一致 (錯誤 #15226)

- GUI：修正 Mac OS X El Capitan 上的 [檢視] 功能表/全螢幕模式行為

- GUI：修正允許以空白密碼加密硬碟的測試

- GUI：修正 VM 關機期間特定情況下的損毀

- GUI：修正進入群組時 VM 選取器中的 VM 清單捲動軸大小

- PC 喇叭通道：修正 (僅限 Linux 主機；錯誤 #627)

- 拖放：數個修正

- SATA：修正使用 EFI 時的熱插拔旗標處理

- 儲存空間：修正使用 SCSI 控制器對加密磁碟影像的處理 (錯誤 #14812)

- 儲存空間：修正使用 BusLogic SCSI 控制器時 Solaris 7 可能發生的損毀情形

- USB：正確從 USB 字串清除非 ASCII 字元 (錯誤 #8801、#15222)

- NAT 網路：修正特定情況下 Mac OS X 中的 VBoxNetNAT 100% CPU 負載問題 (錯誤 #15223)

- ACPI：修正 ACPI 表格，使其能夠再次顯示色彩管理設定，以用於舊版 Windows 版本 (4.3.22 迴歸)

- 來賓控制：修正 VBoxManage copyfrom 命令 (錯誤 #14336)

- 快照：修正移除較舊快照時的數個問題 (錯誤 #15206)

- VBoxManage：修正 guestcontrol 命令的 --verbose 輸出

- Windows 主機：強化最近 Windows 10 內部版本所需要的修正 (錯誤 #15245、#15296)

- Windows 主機：修正橋接網路的 jumbo 框架支援 (5.0.16 迴歸；錯誤 #15209)

- Windows 主機：如果安裝僅限主機的介面卡，則不禁止接收多點傳送流量 (錯誤 #8698)

- Linux 主機：新增建立原始磁碟時對於 NVME 磁碟新命名配置的支援

- Solaris 主機/來賓：正確簽署核心模組 (錯誤 #12608)

- Linux 主機/來賓：Linux 4.5 修正 (錯誤 #15251)

- Linux 主機/來賓：Linux 4.6 修正 (錯誤 #15298)

- Linux Additions：新增核心圖形驅動程式以於 X.Org 沒有 root 權限時支援圖形 (錯誤 #14732)

- Linux/Solaris Additions：修正造成 Linux/Solatis 來賓在可使用 3D 加速時透過軟體轉譯的數個問題

- Windows Additions：修正停用 Aero 時 PowerPoint 2010 與 WDDM 驅動程式的懸置問題

遠端主機上安裝的 Oracle VM VirtualBox 應用程式版本比 4.3.36 或 5.0.18 舊。因此會受到 Core 子元件中的一個不明瑕疵影響，其允許本機攻擊者取得提升的權限。此外，隨附的 OpenSSL 版本中還存在多個弱點：

- 在 ‘p’ 值設為 0 的情況下處理匿名 DH 加密套件的 ServerKeyExchange 訊息時，在 s3_clnt.c 檔案的 ssl3_get_key_exchange() 函式中存在一個瑕疵。攻擊者可以透過造成分割錯誤來加以惡意利用，使與程式庫連結的應用程式損毀，進而導致拒絕服務。
 (CVE-2015-1794)

- 在 x86_64 Montgomery 平方實作中存在一個可能使 Bn_mod_exp() 函式產生不正確結果的攜帶傳播瑕疵。攻擊者可加以惡意利用，取得私密金鑰的相關敏感資訊。(CVE-2015-3193)

- rsa_ameth.c 檔案中存在一個 NULL 指標解除參照瑕疵，這是因為不當處理缺少 PSS 參數的 ASN.1 簽章所導致。遠端攻擊者可惡意利用此問題使簽章驗證常式損毀，進而導致拒絕服務情形。(CVE-2015-3194)

- tasn_dec.c 檔案中的 ASN1_TFLG_COMBINE 實作存有一個瑕疵，與處理格式有誤之 X509_ATTRIBUTE 結構有關。遠端攻擊者可能利用此弱點，透過觸發 PKCS#7 或 CMS 應用程式中的解碼錯誤來造成記憶體洩漏，進而導致拒絕服務。(CVE-2015-3195)

- s3_clnt.c 中存在一個爭用情形，當多執行緒用戶端收到 PSK 身分提示，而父項 SSL_CTX 結構錯誤更新這些提示時，會觸發此爭用情形。遠端攻擊者可惡意利用這點，透過特製的 ServerKeyExchange 訊息，導致重複釋放記憶體錯誤，進而造成拒絕服務。(CVE-2015-3196)

- 存在一個加密演算法降級弱點，這是因為處理密碼交涉時觸發的瑕疵所導致。遠端攻擊者可惡意利用此弱點交涉 SSLv2 密碼並完成 SSLv2 交握，即使所有 SSLv2 密碼都已在伺服器上停用也是如此。請注意，只有在 SSL_OP_NO_SSLv2 選項尚未停用時，此弱點才會存在。
 (CVE-2015-3197)

ID	名稱	產品	系列	已發布	已更新	嚴重性
91411	openSUSE 安全性更新：virtualbox (openSUSE-2016-666)	Nessus	SuSE Local Security Checks	2016/6/1	2021/1/19	medium
91483	openSUSE 安全性更新：virtualbox (openSUSE-2016-672)	Nessus	SuSE Local Security Checks	2016/6/6	2021/1/19	medium
90680	Oracle VM VirtualBox < 4.3.36 / 5.0.18 多個弱點 (2016 年 4 月 CPU)	Nessus	Misc.	2016/4/22	2019/11/19	medium

偵測

搜尋 Plugin

medium

medium

medium