VNC è affetto da 37 vulnerabilità. Ben 37 nuovi bug!
Più che un desktop remoto, una falla!
Il progetto open-source Virtual Network Computing (VNC), che si trova spesso in ambienti industriali, è afflitto da 37 diverse vulnerabilità. Molte sono critiche in termini di gravità e alcune potrebbero portare all’esecuzione remota del codice (RCE). Secondo i ricercatori di Kaspersky, i bug vnc riguardano potenzialmente 600.000 server accessibili via web in sistemi che utilizzano il popolare codice.
La ricerca ha esaminato quattro sistemi basati su VNC, LibVNC, UltraVNC, TightVNC1.X e TurboVNC, che, secondo l’azienda, sono attivamente utilizzati in impianti industriali automatizzati per consentire il controllo remoto dei sistemi. Circa il 32% dei computer industriali di rete che dispongono di una qualche forma di strumenti di amministrazione remota, tra cui VNC.
“La prevalenza di tali sistemi in generale, e in particolare di quelli vulnerabili, è un problema significativo per il settore industriale. Poiché i potenziali danni possono portare a perdite significative attraverso l’interruzione di complessi processi produttivi”, hanno scritto i ricercatori di Kaspersky in un’analisi dei bug per ICS CERT.
Kaspersky ha segnalato le vulnerabilità agli sviluppatori interessati, che hanno tutti rilasciato patch per i loro prodotti supportati. Tutti tranne TightVNC 1.x che non è più supportato dai suoi creatori. Si raccomanda quindi agli utenti di passare alla versione 2.x.
Un esempio di bug vnc .
Secondo Kaspersky, nella versione 1.3.10 del codice TightVNC, c’è un buffer overflow globale critico (CVE-2019-8287) nella funzione macro HandleCoRREBBP, anche con un rating CVSS di 9,8 su 10. Questo può anche risultare un potenziale RCE.
I ricercatori hanno anche recentemente trovato un difetto di gravità alta in LibVNC (CVE-2019-15681), con un rating CVSS di 7,7 su 10. Si tratta di una memory leak exploitable sfruttabile tramite la connettività di rete nel codice del server VNC, che consente a un aggressore di leggere la memoria dello stack e può essere utilizzata in modo improprio per la divulgazione di informazioni. Secondo la segnalazione, combinata con un’altra vulnerabilità, può essere utilizzata per un leak di memoria dello stack e per bypassare l’ASLR.