This update for virtualbox to version 5.2.16 fixes the following issues :

The following security vulnerabilities were fixed (boo#1101667) :

  - CVE-2018-3005: Fixed an easily exploitable vulnerability     that allowed unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks of     this vulnerability can result in unauthorized ability to     cause a partial denial of service (partial DOS) of     Oracle VM VirtualBox.

  - CVE-2018-3055: Fixed an easily exploitable vulnerability     that allowed unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in unauthorized ability to cause a hang or     frequently repeatable crash (complete DOS) of Oracle VM     VirtualBox and unauthorized read access to a subset of     Oracle VM VirtualBox accessible data.

  - CVE-2018-3085: Fixed an easily exploitable vulnerability     that allowed unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in unauthorized creation, deletion or     modification access to critical data or all Oracle VM     VirtualBox accessible data as well as unauthorized read     access to a subset of Oracle VM VirtualBox accessible     data and unauthorized ability to cause a hang or     frequently repeatable crash (complete DOS) of Oracle VM     VirtualBox.

  - CVE-2018-3086: Fixed an easily exploitable vulnerability     that allowed unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox.

  - CVE-2018-3087: Fixed an easily exploitable vulnerability     that allowed unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox.

  - CVE-2018-3088: Fixed an easily exploitable vulnerability     allows unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox.

  - CVE-2018-3089: Fixed an easily exploitable vulnerability     allows unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox.

  - CVE-2018-3090: Fixed an easily exploitable vulnerability     allows unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in takeover of Oracle VM VirtualBox.

  - CVE-2018-3091: Fixed an easily exploitable vulnerability     allows unauthenticated attacker with logon to the     infrastructure where Oracle VM VirtualBox executes to     compromise Oracle VM VirtualBox. Successful attacks     require human interaction from a person other than the     attacker and while the vulnerability is in Oracle VM     VirtualBox, attacks may significantly impact additional     products. Successful attacks of this vulnerability can     result in unauthorized access to critical data or     complete access to all Oracle VM VirtualBox accessible     data.

The following bugs were fixed :

  - OVF: case insensitive comparison of manifest attribute     values, to improve compatibility

远程主机上运行的 Oracle VM VirtualBox 版本为低于 5.2.16 的 5.2.x。因此，如 2018 年 4 月关键修补程序更新公告所述，会受到多个漏洞的影响：- Oracle VM VirtualBox 组件内 Oracle Virtualization 的 Core 子组件中存在不明漏洞，可让能够登录 Oracle VM VirtualBox 执行所在的基础架构的未经身份验证的远程攻击者危害 Oracle VM VirtualBox。(CVE-2018-3005, CVE-2018-3085, CVE-2018-3086 CVE-2018-3087, CVE-2018-3088, CVE-2018-3089, CVE-2018-3090, CVE-2018-3091, CVE-2018-3055) 有关更多信息，请参阅适用 CVE 的 CVRF 详细信息。Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

遠端主機上執行的 Oracle VM VirtualBox 為比 5.2.16 舊的 5.2.x 版。因此，會受到 2018 年 4 月重大修補程式更新公告所述多個弱點影響：在 Oracle Virtualization 中，Oracle VM VirtualBox 元件的 Core 子元件中有一個不明弱點，可讓能夠登入 Oracle VM VirtualBox 執行所在的基礎結構的未經驗證遠端攻擊者入侵 Oracle VM VirtualBox。(CVE-2018-3005、CVE-2018-3085、CVE-2018-3086 CVE-2018-3087、CVE-2018-3088、CVE-2018-3089、CVE-2018-3090、CVE-2018-3091、CVE-2018-3055) 如需額外資訊，請參閱 CVRF 詳細資料以了解適用的 CVE。Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

バージョン 5.2.16へのvirtualboxの更新プログラムでは、以下の問題が修正されています：

次のセキュリティ脆弱性が修正されました（boo#1101667）：

  - CVE-2018-3005：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性があった、簡単に悪用可能な脆弱性を修正しました。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの部分的なサービス拒否（部分的なDOS）が権限なしで引き起こされる可能性があります。

  - CVE-2018-3055：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性があった、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性を利用した攻撃が成功すると、Oracle VM VirtualBoxでハングを引き起こしたり、頻繁にクラッシュを繰り返す（完全なDOS）可能性があり、またOracle VM VirtualBoxがアクセスできるデータの一部に権限なしで読み取りアクセスできる可能性があります。

  - CVE-2018-3085：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性があった、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやOracle VM VirtualBoxがアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、承認なしにOracle VM VirtualBoxがアクセスできるデータのサブセットに読み取りアクセスを実行したり、Oracle VM VirtualBoxでハングを引き起こしたり、頻繁にクラッシュを繰り返す（完全なDOS）可能性があります。

  - CVE-2018-3086：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性があった、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3087：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性があった、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3088：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がある、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3089：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がある、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3090：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がある、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3091：認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がある、簡単に悪用可能な脆弱性を修正しました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性による攻撃が成功すると、権限なしで重要なデータにアクセスできるようになるか、Oracle VM VirtualBoxがアクセスできるすべてのデータに完全にアクセスできるようになります。

次のバグが修正されました：

  - OVF：互換性を向上するため、マニフェスト属性値の比較では大文字と小文字を区別しません

The version of Oracle VM VirtualBox running on the remote host is 5.2.x prior to 5.2.16. It is, therefore, affected by multiple vulnerabilities as noted in the April 2018 Critical Patch Update advisory : 

  - An unspecified vulnerability in the Oracle VM VirtualBox     component of Oracle Virtualization in the Core     subcomponent could allow an unauthenticated, remote     attacker with logon to the infrastructure where Oracle     VM VirtualBox executes to compromise Oracle VM     VirtualBox. (CVE-2018-3005, CVE-2018-3085, CVE-2018-3086     CVE-2018-3087, CVE-2018-3088, CVE-2018-3089,     CVE-2018-3090, CVE-2018-3091, CVE-2018-3055)

Please consult the CVRF details for the applicable CVEs for additional information.

Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for kbuild, virtualbox fixes the following issues :

kbuild changes :

  - Update to version 0.1.9998svn3110

  - Do not assume glibc glob internals

  - Support GLIBC glob interface version 2

  - Fix build failure (boo#1079838)

  - Fix build with GCC7 (boo#1039375)

  - Fix build by disabling vboxvideo_drv.so

virtualbox security fixes (boo#1101667, boo#1076372) :

  - CVE-2018-3005

  - CVE-2018-3055

  - CVE-2018-3085

  - CVE-2018-3086

  - CVE-2018-3087

  - CVE-2018-3088

  - CVE-2018-3089

  - CVE-2018-3090

  - CVE-2018-3091

  - CVE-2018-2694

  - CVE-2018-2698

  - CVE-2018-2685

  - CVE-2018-2686

  - CVE-2018-2687

  - CVE-2018-2688

  - CVE-2018-2689

  - CVE-2018-2690

  - CVE-2018-2676

  - CVE-2018-2693

  - CVE-2017-5715

virtualbox other changes :

  - Version bump to 5.2.16

  - Use %(?linux_make_arch) when building kernel modules     (boo#1098050)

  - Fixed vboxguestconfig.sh script

  - Update warning regarding the security hole in USB     passthrough. (boo#1097248)

  - Fixed include for build with Qt 5.11 (boo#1093731)

  - You can find a detailed list of changes     [here](https://www.virtualbox.org/wiki/Changelog#v16)

kbuild、virtualboxのこの更新プログラムでは、以下の問題が修正されています：

kbuildの変更：

  - バージョン0.1.9998svn3110に更新します

  - 内部でのglibc globを想定していません

  - GLIBC globインターフェイスバージョン2をサポートします

  - ビルドの失敗を修正します（boo#1079838）

  - GCC7でのビルドを修正します（boo#1039375）

  - vboxvideo_drv.soを無効にすることでビルドを修正します

virtualboxのセキュリティ修正（boo#1101667、boo#1076372）：

  - CVE-2018-3005

  - CVE-2018-3055

  - CVE-2018-3085

  - CVE-2018-3086

  - CVE-2018-3087

  - CVE-2018-3088

  - CVE-2018-3089

  - CVE-2018-3090

  - CVE-2018-3091

  - CVE-2018-2694

  - CVE-2018-2698

  - CVE-2018-2685

  - CVE-2018-2686

  - CVE-2018-2687

  - CVE-2018-2688

  - CVE-2018-2689

  - CVE-2018-2690

  - CVE-2018-2676

  - CVE-2018-2693

  - CVE-2017-5715

virtualboxのその他の変更：

  - 5.2.16 にバージョンを更新

  - カーネルモジュールを構築する際に%(?linux_make_arch)を使用します（boo#1098050）

  - vboxguestconfig.shスクリプトを修正しました

  - USBパススルーのセキュリティホールに関する警告を更新します。（boo#1097248）

  - Qt 5.11のビルドに対するインクルードを修正しました（boo#1093731）

  - 変更の詳細リストは[ここ]で確認できます（https://www.virtualbox.org/wiki/Changelog#v16）

このバージョン 5.2.16へのvirtualboxの更新では、次の問題が修正されます：

次のセキュリティ脆弱性が修正されました（boo#1101667）：

  - CVE-2018-3005：簡単に悪用可能な脆弱性を修正しました。この脆弱性により、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がありました。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの部分的なサービス拒否（部分的なDOS）が権限なしで引き起こされる可能性があります。

  - CVE-2018-3055：簡単に悪用可能な脆弱性によって、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性を利用した攻撃が成功すると、Oracle VM VirtualBoxでハングを引き起こしたり、頻繁にクラッシュを繰り返したり（完全なDOS）する可能性があり、またOracle VM VirtualBoxがアクセスできるデータの一部に権限なしで読み取りアクセスできる可能性があります。

  - CVE-2018-3085：簡単に悪用可能な脆弱性によって、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやOracle VM VirtualBoxがアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、承認なしにOracle VM VirtualBoxがアクセスできるデータのサブセットに読み取りアクセスを実行したり、Oracle VM VirtualBoxでハングを引き起こしたり、頻繁にクラッシュを繰り返す（完全なDOS）可能性があります。

  - CVE-2018-3086：簡単に悪用可能な脆弱性によって、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3087：簡単に悪用可能な脆弱性によって、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3088：簡単に悪用可能な脆弱性を修正しました。この脆弱性により、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がありました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3089：簡単に悪用可能な脆弱性を修正しました。この脆弱性により、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がありました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3090：簡単に悪用可能な脆弱性を修正しました。この脆弱性により、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がありました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle VM VirtualBoxの乗っ取りが発生する可能性があります。

  - CVE-2018-3091：簡単に悪用可能な脆弱性を修正しました。この脆弱性により、認証されていない攻撃者が、Oracle VM VirtualBoxが実行されているインフラストラクチャにログオンし、Oracle VM VirtualBoxを侵害できる可能性がありました。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle VM VirtualBoxですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性による攻撃が成功すると、権限なしで重要なデータにアクセスできるようになるか、Oracle VM VirtualBoxがアクセスできるすべてのデータに完全にアクセスできるようになります。

次のバグが修正されました：

  - OVF：互換性を向上するため、マニフェスト属性値の比較では大文字と小文字を区別しません

リモートホストで実行されているOracle VM VirtualBoxのバージョンは5.2.16より前の5.2.xです。したがって、2018年4月のCritical Patch Updateアドバイザリに記載されているように、複数の脆弱性の影響を受けます：-Oracle VirtualizationのOracle VM VirtualBoxコンポーネントは、Coreサブコンポーネントに詳細不明な脆弱性があり、認証されていないリモートの攻撃者がOracle VM VirtualBoxが実行されるインフラストラクチャにログオンして、Oracle VM VirtualBoxを侵害する可能性があります。（CVE-2018-3005、CVE-2018-3085、CVE-2018-3086、CVE-2018-3087、CVE-2018-3088、CVE-2018-3089、CVE-2018-3090、CVE-2018-3091、CVE-2018-3055）追加情報については、該当するCVEのCVRFの詳細を参照してください。Nessusはこれらの問題のテストを行っておらず、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
111634	openSUSE Security Update : virtualbox (openSUSE-2018-853)	Nessus	SuSE Local Security Checks	2018/8/10	2021/1/19	high
111208	Oracle VM VirtualBox < 5.2.16 Multiple Vulnerabilities (July 2018 CPU)	Nessus	Misc.	2018/7/20	2019/11/5	high
111208	Oracle VM VirtualBox < 5.2.16 Multiple Vulnerabilities (July 2018 CPU)	Nessus	Misc.	2018/7/20	2019/11/5	high
111634	openSUSEセキュリティ更新プログラム：virtualbox（openSUSE-2018-853）	Nessus	SuSE Local Security Checks	2018/8/10	2021/1/19	high
123254	openSUSE Security Update : virtualbox (openSUSE-2019-586)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	high
111208	Oracle VM VirtualBox < 5.2.16 Multiple Vulnerabilities (July 2018 CPU)	Nessus	Misc.	2018/7/20	2019/11/5	high
112143	openSUSE Security Update : kbuild / virtualbox (openSUSE-2018-938) (Spectre)	Nessus	SuSE Local Security Checks	2018/8/28	2021/1/19	high
112143	openSUSEセキュリティ更新プログラム：kbuild / virtualbox（openSUSE-2018-938）（Spectre）	Nessus	SuSE Local Security Checks	2018/8/28	2021/1/19	high
123254	openSUSEセキュリティ更新プログラム：virtualbox（openSUSE-2019-586）	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	high
111208	Oracle VM VirtualBox < 5.2.16の複数の脆弱性（2018年7月CPU）	Nessus	Misc.	2018/7/20	2019/11/5	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high