В системе виртуализации VirtualBox выявлена уязвимость (CVE-2023-22018), позволяющая удалённому пользователю, подключающемуся к виртуальной машин через сеанс на базе протокола RDP, выполнить код на уровне хост-системы. Отмечается, что в определённых конфигурациях уязвимость может быть эксплуатирована неаутентифицированным пользователем, имеющим сетевой доступ к сервису RDP.
Уязвимость вызвана ошибкой при обработке запросов на проброс доступа к USB-устройствам, которая из-за отсутствия проверки размера передаваемых данных может привести к записи в область за границей выделенного буфера. Уязвимость без лишней огласки устранена в выпусках VirtualBox 6.1.46 и 7.0.10.
Release.
Ссылка here.