विविध VNC अंमलबजावणीमध्ये 37 भेद्यता

कॅस्परस्की लॅबमधील पावेल चेरेमुश्किन विश्लेषण केले VNC (व्हर्च्युअल नेटवर्क कम्प्युटिंग) रिमोट ऍक्सेस सिस्टीमची विविध अंमलबजावणी आणि मेमरीसह कार्य करताना समस्यांमुळे निर्माण झालेल्या 37 असुरक्षा ओळखल्या. VNC सर्व्हर अंमलबजावणीमध्ये ओळखल्या गेलेल्या भेद्यता केवळ प्रमाणीकृत वापरकर्त्याद्वारे शोषण केले जाऊ शकतात आणि जेव्हा वापरकर्ता आक्रमणकर्त्याद्वारे नियंत्रित सर्व्हरशी कनेक्ट करतो तेव्हा क्लायंट कोडमधील भेद्यतेवर हल्ले शक्य आहेत.

पॅकेजमध्ये आढळलेल्या भेद्यतेची सर्वात मोठी संख्या अल्ट्राव्हीएनसी, फक्त Windows प्लॅटफॉर्मसाठी उपलब्ध. UltraVNC मध्ये एकूण 22 भेद्यता ओळखल्या गेल्या आहेत. 13 भेद्यतेमुळे सिस्टीमवर कोडची अंमलबजावणी होऊ शकते, 5 मेमरी लीक होऊ शकतात आणि 4 सेवा नाकारू शकतात.
रिलीझमध्ये असुरक्षा निश्चित केल्या आहेत 1.2.3.0.

खुल्या लायब्ररीत LibVNC (LibVNCSserver आणि LibVNCClient), जे द्वारे वापरले VirtualBox मध्ये, 10 भेद्यता ओळखल्या गेल्या आहेत.
5 असुरक्षा (सीव्हीई- 2018-20020, सीव्हीई- 2018-20019, सीव्हीई- 2018-15127, सीव्हीई- 2018-15126, सीव्हीई- 2018-6307) हे बफर ओव्हरफ्लोमुळे होते आणि संभाव्यतः कोडची अंमलबजावणी होऊ शकते. 3 असुरक्षा माहिती लीक होऊ शकतात, 2 सेवा नाकारू शकतात.
सर्व समस्या विकसकांनी आधीच निश्चित केल्या आहेत, परंतु बदल अजूनही आहेत प्रतिबिंबित फक्त मास्टर शाखेत.

В घट्ट VNC (चाचणी क्रॉस-प्लॅटफॉर्म लेगसी शाखा 1.3, सध्याची आवृत्ती 2.x फक्त Windows साठी रिलीझ केलेली असल्याने, 4 भेद्यता आढळल्या. तीन समस्या (सीव्हीई- 2019-15679, सीव्हीई- 2019-15678, सीव्हीई- 2019-8287) InitialiseRFBConnection, rfbServerCutText आणि HandleCoRREBBP फंक्शन्समधील बफर ओव्हरफ्लोमुळे होतात आणि संभाव्यत: कोडची अंमलबजावणी होऊ शकते. एक समस्या (सीव्हीई- 2019-15680) मुळे सेवा नाकारली जाते. जरी TightVNC विकासक होते सूचित केले गेल्या वर्षीच्या समस्यांबद्दल, असुरक्षा दुरुस्त केल्या नाहीत.

क्रॉस-प्लॅटफॉर्म पॅकेजमध्ये टर्बोव्हीएनसी (TightVNC 1.3 चा एक काटा जो libjpeg-turbo लायब्ररी वापरतो), फक्त एक भेद्यता आढळली (सीव्हीई- 2019-15683), परंतु हे धोकादायक आहे आणि, जर तुमच्याकडे सर्व्हरवर प्रमाणीकृत प्रवेश असेल, तर ते तुमच्या कोडची अंमलबजावणी आयोजित करणे शक्य करते, कारण बफर ओव्हरफ्लो झाल्यास, परतीचा पत्ता नियंत्रित करणे शक्य आहे. समस्या सोडवली आहे 23 ऑगस्ट आणि वर्तमान प्रकाशनात दिसत नाही 2.2.3.

स्त्रोत: opennet.ru