अलीकडे पावेल चेरेमुश्किन डीई कॅस्परस्की लॅबने व्हीएनसी रिमोट accessक्सेस सिस्टमच्या विविध अंमलबजावणीचे विश्लेषण केले (व्हर्च्युअल नेटवर्क कंप्यूटिंग) आणि 37 असुरक्षा ओळखल्या स्मृती समस्येमुळे.
व्हीएनसी सर्व्हर अंमलबजावणीत असुरक्षितता आढळली केवळ अधिकृत वापरकर्त्याद्वारे शोषण केले जाऊ शकते जेव्हा एखादा वापरकर्ता आक्रमणकर्त्याद्वारे नियंत्रित सर्व्हरशी कनेक्ट होतो तेव्हा क्लायंट कोडमधील असुरक्षांवर हल्ले करणे शक्य होते.
कॅस्परस्की ब्लॉगवर ते टिप्पणी करतातई या असुरक्षिततेचा खालील प्रकारे उपयोग केला जाऊ शकतो:
व्हीएनसी twoप्लिकेशन्समध्ये दोन भाग असतात: आपला कर्मचारी दूरस्थपणे कनेक्ट केलेला कॉम्प्यूटरवर स्थापित केलेला सर्व्हर आणि ज्या डिव्हाइसवरून ते कनेक्ट करतात अशा डिव्हाइसवर चालणारा क्लायंट. सर्व्हरच्या बाजूला असुरक्षा कमी सामान्य असतात, जी नेहमीच थोडी सुलभ असते आणि म्हणून कमी बग असतात. तथापि, आमच्या सीईआरटी तज्ञांनी तपासात असलेल्या अनुप्रयोगांच्या दोन्ही भागांमध्ये बग शोधले, जरी बर्‍याच प्रकरणांमध्ये अधिकृततेशिवाय सर्व्हरवर हल्ला करणे अशक्य होते.
असुरक्षा बद्दल
अल्ट्राव्हीएनसी पॅकेजमध्ये सर्वाधिक असुरक्षितता आढळली, केवळ विंडोज प्लॅटफॉर्मसाठी उपलब्ध. एकूण, अल्ट्राव्हीएनसीमध्ये 22 असुरक्षा ओळखल्या गेल्या. 13 असुरक्षाांमुळे सिस्टमवर कोड अंमलबजावणी होऊ शकते, 5 मेमरी क्षेत्राची सामग्री गळती होऊ शकते आणि 4 सेवेस नकार देऊ शकतात.
या सर्व असुरक्षा आवृत्ती 1.2.3.0 मध्ये निश्चित केल्या आहेत.
खुल्या LibVNC लायब्ररीत असताना (LibVNCServer आणि LibVNCClient), जे व्हर्च्युअलबॉक्समध्ये वापरले जाते, 10 असुरक्षा ओळखल्या गेल्या. 5 असुरक्षा (CVE-2018-20020, CVE-2018-20019, CVE-2018-15127, CVE-2018-15126, CVE-2018-6307) बफर अतिप्रवाहांमुळे झाल्या आणि यामुळे कोड अंमलबजावणी होऊ शकते. 3 असुरक्षाांमुळे माहिती गळती होऊ शकते; 2 सेवेचा नकार
विकसकांनी सर्व समस्या आधीच निश्चित केल्या आहेत- बहुतेक फिक्सेस लिबव्हीएनसीर्व्हर 0.9.12 रीलिझमध्ये समाविष्ट आहेत, परंतु आतापर्यंत सर्व फिक्सेस केवळ मास्टर ब्रँचमध्ये आणि व्युत्पन्न वितरणामध्येच प्रतिबिंबित केल्या जातात.
TightVNC 1.3 मध्ये (क्रॉस-प्लॅटफॉर्म लेगसी शाखेत चाचणी केली गेली), कारण सध्याची आवृत्ती 2.x केवळ विंडोजसाठीच प्रसिद्ध केली गेली आहे), 4 असुरक्षा शोधण्यात आल्या. इनिशीलायझर आरएफबीसी कनेक्शन, आरएफबीसर्व्हरकटटेक्स्ट, आणि हँडलकोरेरेबीबीपी फंक्शन्समध्ये बफर ओव्हरफ्लोमुळे तीन मुद्दे (सीव्हीई -२०१-2019-१15679 CV CV, सीव्हीई -२०१-2019-१15678, सीव्हीई-२०१--2019२8287) झाल्यामुळे कोड अंमलबजावणी होऊ शकते.
समस्या (सीव्हीई -2019-15680) सेवेचा नकार ठरतो. गेल्या वर्षी टाईटव्हीएनसीच्या विकासकांना समस्यांविषयी सूचित केले गेले असले तरीही असुरक्षितता सुधारली जात नाही.
क्रॉस-प्लॅटफॉर्म पॅकेजमध्ये टर्बोव्हीएनसी (टाईटव्हीएनसी १.1.3 चा काटा, जो लिबजपेग-टर्बो लायब्ररी वापरतो), फक्त एक असुरक्षितता आढळली (सीव्हीई -२०१-2019-१-15683) आहे, परंतु हे धोकादायक आहे आणि सर्व्हरवर प्रमाणीकृत प्रवेश असल्यास आपल्या कोडची अंमलबजावणी व्यवस्थित करणे शक्य करते, जेणेकरून बफर ओव्हरफ्लोजमुळे परतीची दिशा नियंत्रित करणे शक्य होते. ऑगस्ट 23 रोजी समस्या निश्चित केली गेली होती आणि वर्तमान आवृत्ती 2.2.3 मध्ये दिसत नाही.
आपण याबद्दल अधिक जाणून घेऊ इच्छित असल्यास आपण मूळ पोस्टमध्ये तपशील पाहू शकता. दुवा हा आहे.
पॅकेजेसच्या अद्यतनांसाठी खालील प्रकारे केले जाऊ शकते.
libvncserver
लायब्ररी कोड ते ते गिटहबवरील त्यांच्या भांडारातून डाउनलोड करू शकतात (दुवा हा आहे) याक्षणी सर्वात नवीन आवृत्ती डाउनलोड करण्यासाठी आपण टर्मिनल उघडू शकता आणि त्यामध्ये खालील टाइप करू शकता:
wget https://github.com/LibVNC/libvncserver/archive/LibVNCServer-0.9.12.zip
यासह अनझिप करा:
unzip libvncserver-LibVNCServer-0.9.12
आपण यासह निर्देशिका प्रविष्ट करा:
cd libvncserver-LibVNCServer-0.9.12
आणि आपण यासह पॅकेज तयार करा:
mkdir build cd build cmake .. cmake --build .
टर्बोव्हीएनसी
या नवीन आवृत्तीमध्ये अद्यतनित करण्यासाठी, फक्त नवीनतम स्थिर आवृत्ती पॅकेज डाउनलोड करा, जे प्राप्त केले जाऊ शकते खालील दुवा.
पॅकेजचे डाउनलोड पूर्ण झाले, आता आपण फक्त डबल क्लिक करून स्थापित करू शकता त्यावर आणि सॉफ्टवेअर केंद्राने स्थापनेची काळजी घ्यावी किंवा ते हे त्यांच्या पसंतीच्या पॅकेज व्यवस्थापकाद्वारे किंवा टर्मिनलवरून करू शकतात.
ते नंतर डाउनलोड केलेले पॅकेज त्यांच्या टर्मिनलमध्ये आहेत आणि त्या ठिकाणी त्यांना फक्त असे टाइप करून स्वत: ची स्थिती बनवून करतात:
sudo dpkg -i turbovnc_2.2.3_amd64.deb