Se você usa o VNC (qualquer uma das variantes dele), foram descobertas cerca de 37 vulnerabilidades no VNC. Confira os detalhes e atualize.
O VNC é um aplicativo de controle remoto multiplataforma usado em todo mundo para obter acesso e usar dispositivos remotamente. Apenas a sua funcionalidade, apesar de útil, já é um grande risco de segurança. Agora, ele também pode estar colocando em risco a segurança de sistemas.
Recentemente, Pavel Cheremushkin, da Kaspersky Lab, analisou várias implementações do sistema de acesso remoto VNC (Virtual Network Computing) e identificou 37 vulnerabilidades causadas por problemas de memória.
Descobertas cerca de 37 vulnerabilidades no VNC! Atualize!
As vulnerabilidades detectadas nas implementações do servidor VNC podem ser exploradas apenas por um usuário autenticado e os ataques a vulnerabilidades no código do cliente são possíveis quando um usuário se conecta a um servidor controlado por um invasor.
No blog da Kaspersky, eles comentam que essas vulnerabilidades podem ser exploradas da seguinte maneira:
Os aplicativos VNC consistem em duas partes: um servidor instalado no computador ao qual seu funcionário se conecta remotamente e um cliente em execução no dispositivo ao qual ele se conecta.
As vulnerabilidades são muito menos comuns no lado do servidor, o que é sempre um pouco mais simples e, portanto, tem menos erros.
No entanto, nossos especialistas em CERT descobriram erros nas duas partes dos aplicativos sob investigação, embora em muitos casos um ataque ao servidor possa ser impossível sem autorização.
O maior número de vulnerabilidades foi encontrado no pacote UltraVNC, disponível apenas para a plataforma Windows. No total, 22 vulnerabilidades foram identificadas no UltraVNC. 13 vulnerabilidades poderiam levar à execução de código no sistema, 5 poderiam filtrar o conteúdo das áreas de memória e 4 causariam uma negação de serviço.
Todas essas vulnerabilidades foram corrigidas na versão 1.2.3.0.
- Instalando o simulador de corridas Speed Dreams no Linux
- Como instalar o jogo de corrida SuperTuxKart no Linux
- Como instalar o jogo Sonic 3: Angel Island Revisited no Linux via Flatpak
- Como instalar o jogo The Gates no Linux via Flatpak
Enquanto na biblioteca aberta LibVNC (LibVNCServer e LibVNCClient), usada no VirtualBox, 10 vulnerabilidades foram identificadas.
5 vulnerabilidades (CVE-2018-20020, CVE-2018-20019, CVE-2018-15127, CVE-2018-15126, CVE-2018-6307) foram causadas por estouros de buffer e podem levar à execução do código.
3 vulnerabilidades podem levar ao vazamento de informações; 2 para negação de serviço.
Os desenvolvedores já resolveram todos os problemas: a maioria das correções está incluída no lançamento do LibVNCServer 0.9.12, mas até agora todas as correções são refletidas apenas na ramificação principal e nas atualizações geradas pelas distribuições.
No TightVNC 1.3 (filial herdada de plataforma cruzada herdada), desde que a versão atual 2.x foi lançada apenas para Windows), quatro vulnerabilidades foram descobertas. Três problemas (CVE-2019-15679, CVE-2019-15678, CVE-2019-8287) são causados por estouros de buffer nas funções InitialiseRFBConnection, rfbServerCutText e HandleCoRREBBP e podem levar à execução do código.
Um problema (CVE-2019-15680) leva a uma negação de serviço. Embora os desenvolvedores do TightVNC tenham sido notificados sobre os problemas no ano passado, as vulnerabilidades permanecem não corrigidas.
No pacote multiplataforma TurboVNC (fork do TightVNC 1.3, que usa a biblioteca libjpeg-turbo), apenas uma vulnerabilidade é encontrada (CVE-2019-15683), mas é perigosa e, se houver acesso autenticado ao servidor, é possível organizar a execução de seu código, assim como nos estouros de buffer, é possível controlar o endereço de retorno.
O problema foi corrigido em 23 de agosto e não aparece na versão atual 2.2.3.
Se você quiser saber mais sobre isso, verifique os detalhes na publicação original.
Como atualizar o VNC
Para atualizar o VNC, primeiramente, abra um terminal,
libvncserver
O código da biblioteca pode ser baixado de seu repositório no GitHub. Para baixar a versão mais atual no momento, use o seguinte comando;
wget https://github.com/LibVNC/libvncserver/archive/LibVNCServer-0.9.12.zip -O libvncserver.zipEm seguida, descompacte o arquivo baixado com esse comando:
unzip libvncserver.zipDepois, acesse a pasta criada:
cd libvncserver-LibVNCServer-*Por fim, compile e instale com esses comandos:
mkdir buildcd buildcmake ..cmake --build .TurboVNC
Para atualizar para esta nova versão, basta baixar o pacote da versão estável mais recente, que você pode obter nesse endereço. Ou, use o comando abaixo:
wget https://ufpr.dl.sourceforge.net/project/turbovnc/2.2.3/turbovnc_2.2.3_amd64.deb -O turbovnc.debApós o download do pacote, agora você pode simplesmente instalá-lo clicando duas vezes nele e o centro de software assumirá a instalação ou você poderá fazê-lo com seu gerenciador de pacotes preferido ou em um terminal.
O último é feito posicionando o local onde o pacote baixado está no seu terminal e nele, basta digitar:
sudo dpkg -i turbovnc*.debO que está sendo falado no blog
No Post found.
Post Views: 511