隨著 Oracle VM VirtualBox 最近披露的一個高危漏洞，虛擬機器社群正在討論虛擬化環境中 3D 圖形加速的安全隱患。這個透過 VGA 裝置允許攻擊者從虛擬機器逃逸到宿主系統的漏洞，引發了關於是否應該在不受信任的虛擬機器中啟用某些功能以及使用者可能考慮哪些替代方案的討論。
VirtualBox 漏洞
最近披露的 VirtualBox VMSVGA 3D 圖形裝置漏洞允許攻擊者透過利用 vmsvga3dSurfaceMipBufferSize 函式中的整數溢位從虛擬機器逃逸。這會導致一種危險情況：系統分配零位元組記憶體，同時跟蹤的緩衝區大小卻大於零，從而導致越界記憶體訪問。一位安全研究員已經證明了如何利用這一點實現對宿主機記憶體的任意讀寫訪問，最終完全逃逸出虛擬機器。
這個漏洞似乎已在 VirtualBox 7.1.8 中修復，儘管一些使用者注意到這個更新並未透過 GUI 更新機制提供，且更新日誌中也未提及這個 CVE。一位社群成員在 VirtualBox 原始碼庫中發現了似乎是修復此漏洞的程式碼。
VirtualBox 漏洞詳情：
- 嚴重性：高
- 受影響元件：VMSVGA 3D 圖形裝置
- 漏洞型別：vmsvga3dSurfaceMipBufferSize 函式中的整數溢位
- 影響：虛擬機器逃逸，可任意讀寫主機記憶體
- 修復版本：7.1.8（根據社群報告）
- 披露時間線：2025年4月1日報告，2025年4月15日修復，2025年5月15日公開披露
提及的虛擬化替代方案：
- VirtualBox：開源（GPLv3），所有用途均免費，據報道存在穩定性問題
- VMware Workstation：最近對個人使用免費，通常被認為更穩定
- Hyper-V：免費但需要 Windows Pro 或更高版本
- QEMU/KVM：完全開源的替代方案
Oracle 對 3D 圖形安全的立場
社群爭議的一個重要點是 Oracle 對 VirtualBox 3D 功能安全性的立場。根據一位聲稱與 Oracle 有過討論的評論者表示：
「為了記錄在案：Oracle 認為在虛擬機器不受信任的情況下不應啟用 3D 功能。它仍被歸類為實驗性功能，並且很可能至少在未來十年內仍將如此。」
然而，其他人指出，這一警告在 VirtualBox 的官方資料中並未明確記載，導致使用者在為虛擬機器啟用 3D 加速時可能不瞭解其安全隱患。
無頭虛擬機器的安全考慮
一個重要的討論線索圍繞著無頭虛擬機器（僅透過 SSH 訪問而無圖形介面的虛擬機器）是否容易受到此類攻擊。社群成員澄清說，該漏洞特別影響 VMSVGA 虛擬 3D 圖形裝置，而不是正常啟動控制檯操作所需的基本 VGA 硬體。
雖然所有 PC 通常需要某種形式的 VGA 控制檯來啟動，但 Linux 可以在沒有 VGA 裝置的情況下啟動。幾位使用者指出，可以配置沒有圖形裝置的虛擬機器，而只使用序列控制檯。這種配置透過消除與虛擬圖形硬體相關的攻擊面，可能為無頭伺服器部署提供更好的安全性。
對 VirtualBox 可靠性的擔憂
除了安全漏洞本身，討論還揭示了對 VirtualBox 整體可靠性的廣泛不滿。多位使用者報告了頻繁崩潰的情況，特別是在較新的 Ubuntu 版本（22.04 和 24.04 LTS）上。這導致一些人考慮替代方案，儘管每種方案都有自己的權衡。
一些使用者將這些問題歸因於 VirtualBox 的開發過程，認為它在釋出前缺乏嚴格測試。一位評論者注意到，在虛擬機器日誌中看到了留下的除錯日誌型別程式碼，以及在大多數人認為非常常見的宿主機+客戶機組合中出現的故障，這表明可能存在質量控制問題。
替代虛擬化選項
這個漏洞促使許多人重新考慮他們的虛擬化平臺選擇。根據社群評論，最近已對個人使用者免費開放的 VMware Workstation 被提及為一個更穩定的替代方案。然而，一些使用者對 Broadcom 收購 VMware 以及這對未來開發可能意味著什麼表示擔憂。
Hyper-V 是 Windows 使用者的另一個選擇，儘管它僅限於作業系統的 Pro 及更高版本。對於優先考慮開源解決方案的使用者，QEMU/KVM 代表了 VirtualBox 的主要替代方案，它既免費又自由。
VirtualBox 保持著一些使用者重視的優勢，包括其作為便攜應用程式執行的能力、與不同虛擬磁碟格式的相容性以及廣泛的社群文件。其 GPLv3 許可證也使其成為該領域為數不多的真正開源選項之一。
隨著虛擬化繼續成為開發、測試和安全隔離的關鍵技術，這個漏洞提醒我們虛擬機器的安全模型並不完美。使用者必須仔細考慮啟用哪些功能，特別是在執行不受信任的程式碼時，並保持警惕，確保其虛擬化平臺更新到最新的安全補丁。