37 kwetsbaarheden in verschillende implementaties van VNC

Pavel Cheremushkin van Kaspersky Lab heeft geanalyseerd verschillende implementaties van het VNC (Virtual Network Computing) remote access systeem en heeft 37 kwetsbaarheden ontdekt die zijn veroorzaakt door problemen met het geheugenbeheer. De kwetsbaarheden in de VNC-serverimplementaties kunnen alleen worden geëxploiteerd door een geauthenticeerde gebruiker, terwijl aanvallen op kwetsbaarheden in de clientcode mogelijk zijn wanneer een gebruiker verbinding maakt met een door een aanvaller gecontroleerde server.

Het hoogste aantal kwetsbaarheden is gevonden in het pakket UltraVNC, dat alleen voor het Windows-platform beschikbaar is. In totaal zijn er 22 kwetsbaarheden in UltraVNC ontdekt. 13 kwetsbaarheden kunnen potentieel leiden tot het uitvoeren van code op het systeem, 5 leiden tot het uitlekken van inhoud van geheugengebieden en 4 tot een denial of service.
Kwetsbaarheden zijn verholpen in de release 1.2.3.0.

In de open source bibliotheek LibVNC (LibVNCServer en LibVNCClient), die de DNS-server van CloudFlare wordt gebruikt, zal in Chrome slechts de methode van de DNS-verwerking worden bijgewerkt naar een equivalente service, zonder wisseling van de DNS-provider. Bijvoorbeeld, als een gebruiker in de systeeminstellingen de DNS 8.8.8.8 heeft opgegeven, zal in Chrome in VirtualBox zijn 10 kwetsbaarheden ontdekt.
5 kwetsbaarheden (CVE-2018-20020, CVE-2018-20019, CVE-2018-15127, CVE-2018-15126, CVE-2018-6307) zijn veroorzaakt door bufferoverlopen en kunnen potentieel leiden tot de uitvoering van code. 3 kwetsbaarheden kunnen leiden tot het uitlekken van informatie, 2 tot een denial of service.
Alle problemen zijn al opgelost door de ontwikkelaars, maar de wijzigingen zijn voorlopig alleen weerspiegeld in de master-tak.

In TightVNC (er werd een cross-platform verouderde tak getest, 1.3aangezien de actuele versie 2.x alleen voor Windows wordt uitgegeven), er zijn 4 kwetsbaarheden ontdekt. Drie problemen (CVE-2019-15679, CVE-2019-15678, CVE-2019-8287) zijn veroorzaakt door bufferoverlopen in de functies InitialiseRFBConnection, rfbServerCutText en HandleCoRREBBP, en kunnen potentieel leiden tot de uitvoering van code. Eén probleem (CVE-2019-15680) leidt tot een denial of service. Ondanks dat de ontwikkelaars van TightVNC in het verleden zijn geïnformeerd over de problemen nog vorig jaar, zijn de kwetsbaarheden nog steeds niet verholpen.

In het cross-platform pakket TurboVNC (een fork van TightVNC 1.3, dat de libjpeg-turbo bibliotheek gebruikt), is slechts één kwetsbaarheid gevonden (CVE-2019-15683), maar deze is ernstig en biedt, bij geauthenticeerde toegang tot de server, de mogelijkheid om eigen code uit te voeren, aangezien bij het bufferoverloop de returnadress kan worden gecontroleerd. Het probleem is opgelost op 23 augustus en komt niet voor in de actuele release 2.2.3.

Bron: opennet.ru