Onlangs heeft Pavel Cheremushkin dKaspersky Lab analyseerde verschillende implementaties van het VNC-systeem voor externe toegang (virtuele netwerkcomputers) en identificeerde 37 kwetsbaarheden veroorzaakt door geheugenproblemen.
Kwetsbaarheden gedetecteerd in VNC-serverimplementaties kan alleen worden misbruikt door een geauthenticeerde gebruiker en aanvallen op kwetsbaarheden in clientcode zijn mogelijk wanneer een gebruiker verbinding maakt met een server die wordt beheerd door een aanvaller.
Op de Kaspersky-blog zeggen ze datDeze kwetsbaarheden kunnen op de volgende manier worden misbruikt:
VNC-applicaties bestaan uit twee delen: een server die is geïnstalleerd op de computer waarmee uw medewerker op afstand verbinding maakt, en een client die draait op het apparaat waarmee ze verbinding maken. Kwetsbaarheden komen veel minder vaak voor aan de serverkant, wat altijd een beetje gemakkelijker is en daarom minder bugs bevat. Onze CERT-experts ontdekten echter bugs in beide delen van de onderzochte applicaties, hoewel in veel gevallen een aanval op de server onmogelijk zou kunnen zijn zonder autorisatie.
Over kwetsbaarheden
De meeste kwetsbaarheden zijn gevonden in het UltraVNC-pakket, alleen beschikbaar voor het Windows-platform. In totaal in UltraVNC Er zijn 22 kwetsbaarheden geïdentificeerd 13 kwetsbaarheden kunnen leiden tot code-uitvoering op het systeem, 5 kunnen de inhoud van geheugengebieden lekken en 4 kunnen leiden tot een denial of service.
Al deze kwetsbaarheden zijn opgelost in versie 1.2.3.0.
Terwijl in de open LibVNC-bibliotheek (LibVNCServer en LibVNCClient), die wordt gebruikt in VirtualBox, Er zijn 10 kwetsbaarheden geïdentificeerd 5 kwetsbaarheden (CVE-2018-20020, CVE-2018-20019, CVE-2018-15127, CVE-2018-15126, CVE-2018-6307) werden veroorzaakt door bufferoverflows en kunnen leiden tot code-uitvoering. 3 kwetsbaarheden kunnen leiden tot informatielekkage; 2 tot weigering van dienst.
De ontwikkelaars hebben alle problemen al opgelost- De meeste fixes zijn opgenomen in de LibVNCServer 0.9.12 release, maar tot dusverre zijn alle fixes alleen terug te vinden in de master branch en updates gegenereerde distributies.
In TightVNC 1.3 (platformonafhankelijke legacy branch getest), aangezien de huidige versie 2.x alleen voor Windows is uitgebracht), Er zijn 4 kwetsbaarheden ontdekt. Drie problemen (CVE-2019-15679, CVE-2019-15678, CVE-2019-8287) worden veroorzaakt door bufferoverflows in de InitialiseRFBConnection-, rfbServerCutText- en HandleCoRREBBP-functies en kunnen leiden tot code-uitvoering.
Een probleem (CVE-2019-15680) leidt tot een dienstweigering. Ondanks het feit dat TightVNC-ontwikkelaars vorig jaar op de hoogte zijn gesteld van de problemen, blijven de kwetsbaarheden niet verholpen.
In het platformonafhankelijke pakket TurboVNC (vork van TightVNC 1.3, die de libjpeg-turbo-bibliotheek gebruikt), slechts één kwetsbaarheid gevonden (CVE-2019-15683), maar het is gevaarlijk en als er geauthenticeerde toegang tot de server is, is het mogelijk om de uitvoering van uw code te organiseren, zodat het bij bufferoverflows mogelijk is om de retourrichting te controleren. Het probleem is op 23 augustus verholpen en komt niet voor in de huidige versie 2.2.3.
Als je er meer over wilt weten je kunt de details in het originele bericht bekijken. De link is dit.
Wat betreft de updates van de pakketten kan op de volgende manier worden gedaan.
libvncserver
De bibliotheekcode je kunt het downloaden van je repository op GitHub (de link is deze). Om de meest recente versie op dit moment te downloaden, kunt u een terminal openen en het volgende erin typen:
wget https://github.com/LibVNC/libvncserver/archive/LibVNCServer-0.9.12.zip
Unzip met:
unzip libvncserver-LibVNCServer-0.9.12
U komt de directory binnen met:
cd libvncserver-LibVNCServer-0.9.12
En je bouwt het pakket met:
mkdir build cd build cmake .. cmake --build .
TurboVNC
Om bij te werken naar deze nieuwe versie, download gewoon het nieuwste stabiele versiepakket, die kan worden verkregen bij de volgende link.
Klaar met het downloaden van het pakket, nu kunt u het eenvoudig installeren door erop te dubbelklikken erop en laat het softwarecentrum voor de installatie zorgen, of ze kunnen het doen met hun favoriete pakketbeheerder of vanaf een terminal.
Ze doen dat laatste door zichzelf te positioneren waar het gedownloade pakket zich in hun terminal bevindt en daarin hoeven ze alleen maar te typen:
sudo dpkg -i turbovnc_2.2.3_amd64.deb