CVE-2024-21111

Oracle VirtualBox 7.0.16 之前版本存在本地权限提升漏洞，攻击者可通过符号链接跟随实现任意文件删除和任意文件移动。

VirtualBox 尝试以 NT AUTHORITY\SYSTEM 权限将 C:\ProgramData\VirtualBox（所有用户均可写入）中的日志文件按序号备份，但最多保留 10 个日志。VirtualBox 还会尝试以 NT AUTHORITY\SYSTEM 权限删除第 11 个日志，这暴露了两个导致权限提升的漏洞。发现这个漏洞的过程非常有趣 :)

任意文件删除

https://github.com/mansk1es/CVE-2024-21111/assets/74832816/54a78fa6-82b2-441a-8b37-ad411fbc6e33

任意文件移动

https://github.com/mansk1es/CVE-2024-21111/assets/74832816/85430839-bb51-4c8e-b6c4-9fd38b256ff8

有趣的是，我和 @filip_dragovic (Wh04m1001) 各自独立发现了这个漏洞 :D 向他致敬！

报告时间线

• 2024/3/19 - 向 Oracle 报告漏洞
• 2024/3/21 - Oracle 确认漏洞
• 2024/4/13 - Oracle 收到公共公告通知
• 2024/4/16 - CVE-2024-21111 公开，Oracle 关键补丁更新发布公共公告