Redazione RHC : 26 Ottobre 2025 16:33
Gli specialisti di BI.ZONE hanno identificato due vulnerabilità (CVE-2025-62592 e CVE-2025-61760) in Oracle VirtualBox. Combinate assieme consentivano a un aggressore di uscire da una macchina virtuale e raggiungere il sistema host macOS basato su ARM.
Si sottolinea che questa è la prima catena di vulnerabilità di questo tipo di cui si abbia notizia pubblica dal rilascio della versione 7.1.0 di VirtualBox nel 2024, che ha introdotto il supporto ARM in macOS.
La vulnerabilità CVE-2025-62592 (punteggio CVSS 6.0) è stata scoperta nella scheda grafica virtuale QemuRamFB nel gestore di lettura MMIO qemuFwCfgMmioRead. Consente a un aggressore di leggere una quantità illimitata di memoria oltre i limiti dell’array. Di conseguenza, l’aggressore può accedere a dati sensibili, inclusi indirizzi base randomizzati di programmi e librerie. La vulnerabilità riguarda solo VirtualBox per macOS su un processore ARM.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
CVE-2025-61760 (punteggio CVSS 7,5) è una vulnerabilità di buffer overflow basata sullo stack nella funzione virtioCoreR3VirtqInfo. Un aggressore può sfruttare questa vulnerabilità utilizzando le informazioni ottenute sfruttando il CVE-2025-62592. L’aggressore può quindi uscire dalla macchina virtuale ed eseguire codice arbitrario sull’host, assumendo il controllo dell’hypervisor e di altre macchine virtuali.
Di conseguenza, l’aggressore può accedere al microfono e alla fotocamera del dispositivo, leggere e modificare qualsiasi file, compresi quelli di altre applicazioni. Può anche avviare nuovi processi, ottenendo di fatto il controllo quasi completo del sistema operativo host.
“Quando si sviluppa un exploit per applicazioni moderne, gli aggressori hanno spesso bisogno di due vulnerabilità: una per far trapelare ASLR e una per corrompere le strutture di memoria dei processi. Le vulnerabilità scoperte dal nostro team sono autosufficienti per questa catena. Il loro sfruttamento è in qualche modo ostacolato da mitigazioni protettive come NX (No-eXecute) e stack canary, ma è possibile sovrascrivendo altre variabili locali della funzione virtioCoreR3VirtqInfo”, commenta Pavel Blinnikov, responsabile del team di ricerca sulle vulnerabilità.
Le informazioni sulle vulnerabilità sono state segnalate al fornitore e il 21 ottobre 2025 Oracle ha rilasciato un aggiornamento critico della patch che risolve entrambi i problemi.
RedazioneUn’indagine su forum e piattaforme online specializzate ha rivelato l’esistenza di un fiorente mercato nero di account finanziari europei. Un’entità denominata “ASGARD”, sta pubblicizzando ...
C’è un fenomeno noto ma di cui si parla poco, e che ogni giorno colpisce senza distinzione: la pornografia algoritmica. È una forma di inquinamento semantico che trasforma l’identità digitale i...
Google si avvicina alla presentazione ufficiale di Gemini 3.0, il nuovo modello di intelligenza artificiale destinato a rappresentare uno dei passaggi più rilevanti nella strategia dell’azienda. Se...
La sicurezza del Louvre è di nuovo sotto accusa dopo che alcuni burloni sono riusciti a ingannare le guardie e ad appendere il loro dipinto nella stessa stanza della Monna Lisa. Il duo belga Neel e S...
Il servizio di pagamento Checkout.com è stato vittima di un tentativo di estorsione: il gruppo ShinyHunters ha affermato di aver avuto accesso a dati aziendali e ha chiesto un riscatto. Un’indagine...
