CVE-2020-8871: Parallels Desktop虚拟机逃逸漏洞通告

CVE-2020-8871: Parallels Desktop虚拟机逃逸漏洞通告

360-CERT [三六零CERT](javascript:void(0)😉 昨天

img

0x00 漏洞背景

2020年05月25日, 360CERT监测发现 ZDI 发布了 Parallels Desktop(PD) 虚拟机逃逸漏洞 的风险通告,该漏洞编号为 CVE-2020-8871,漏洞等级:中危

Parallels Desktop 是 MacOS 平台下最流行的虚拟机软件,旨在提供高性能的虚拟机服务。

Parallels Desktop在虚拟化 VGA设备实现时存在 内存越界漏洞(Out-Of-Bounds(OOB))攻击者 通过在虚拟机内部运行特制程序(需取得虚拟机权限),可以造成 虚拟机逃逸(在真实物理主机上执行任意代码,并获得物理主机控制权限)。

对此,360CERT建议广大用户及时安装最新补丁,做好资产自查以及预防工作,以免遭受黑客攻击。

0x01 风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级中危
影响面有限

0x02 影响版本

  • Parallels Desktop :<= 15.1.2

0x03 修复建议

通用修补建议:

升级到15.1.3版本,下载安装Parallels Desktop 。下载地址为:
https://www.parallels.cn/products/desktop/trial/

0x04 时间线

2020-05-21 ZDI 发布漏洞分析

2020-05-25 360CERT发布预警

0x05 参考链接

  1. Zero Day Initiative — CVE-2020-8871: Privilege Escalation in Parallels Desktop via VGA Device [https://www.thezdi.com/blog/2020/5/20/cve-2020-8871-privilege-escalation-in-parallels-desktop-via-vga-device]
  2. CVE - CVE-2020-8871 [https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8871]

转载自https://mp.weixin.qq.com/s/tGBvOxoxIErh3k5oetEz_A

admin-root 系统安全 web安全 安全架构
每个人都可以成为黑客,也许他就在你身边,也许...那就是未来的你
┃  ┏┃┃┃┏┛
┃  ━┛━┛┏┛  
━┛ ❤️  ━┛
本人小菜鸟一枚,公众号里有粉丝群和我的联系方式,有问题我会尽力解答的