リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:2000 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    VNC (仮想ネットワークコンピューティング) は、実行中のマシン上だけでなく、インターネット上のどこからでも、さまざまなマシンアーキテクチャから、ユーザーがコンピューティングデスクトップ環境を表示できるようになるリモートディスプレイシステムです。TigerVNCはVNCサーバーとクライアントのスイートで、ユーザーはVNCサーバーを実行している他のデスクトップに接続できるようになります。

    FLTK（フルティックと読みます）は、クロスプラットフォームの C++ GUI ツールキットです。シンプルで最新のGUI機能を提供し、OpenGLとその組み込みGLUTエミュレーションによる3Dグラフィックスをサポートします。

    tigervnc（1.8.0）、fltk（1.3.4）のパッケージが新しいアップストリームバージョンにアップデートされました。
    (BZ#1388620、BZ#1413598)

    セキュリティ修正プログラム: 

    * TigerVNCのXvncサーバーにサービス拒否の欠陥が見つかりました。認証されていないリモートの攻撃者がこの欠陥を利用して、TLSハンドシェイクプロセスを早期終了されることでXvncをクラッシュさせる可能性があります。 (CVE-2016-10207)

    * TigerVNCがClientFenceメッセージを処理する方法に、二重解放の欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたClientFenceメッセージを送信してXvncをクラッシュさせ、サービス拒否を引き起こす可能性があります。 (CVE-2017-7393)

    * TigerVNCが資格情報を処理する方法に、入力がサニタイズされないという欠陥が見つかりました。認証されていないリモートの攻撃者がこの欠陥を利用して、特別に細工されたユーザー名を送信してXvncをクラッシュさせ、サービス拒否を引き起こす可能性があります。 (CVE-2017-7394)

    * TigerVNCがClientCutTextメッセージを処理する方法に、整数オーバーフローの欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたClientCutTextメッセージを送信してXvncをクラッシュさせ、サービス拒否を引き起こす可能性があります。（CVE-2017-7395）

    * TigerVNCビューアーにメモリ破損につながるバッファオーバーフローの欠陥が見つかりました。悪意のあるリモート VNC サーバーがこの欠陥を利用して、クライアントの vncviewer プロセスをクラッシュさせ、サービス拒否を引き起こす可能性があります。
    (CVE-2017-5581)

    * TigerVNCがVeNCrypt接続の終了を処理する方法に、メモリリークの欠陥が見つかりました。認証されていないリモートの攻撃者が、接続リクエストを繰り返しXvncサーバーに送信して、時間をかけてサーバーに多量のメモリリソースを消費させ、最終的にメモリ枯渇によりサービス拒否を引き起こす可能性があります。 (CVE-2017-7392)

    * TigerVNCがクライアント接続を処理する方法に、メモリリークの欠陥が見つかりました。認証されていないリモートの攻撃者が、接続リクエストを繰り返しXvncサーバーに送信して、時間をかけてサーバーに多量のメモリリソースを消費させ、最終的にメモリ枯渇によりサービス拒否を引き起こす可能性があります。
    (CVE-2017-7396)

    追加の変更

    このリリースの変更に関する詳細については、「参照」セクションからリンクされている Red Hat Enterprise Linux 7.4 リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 7：tigervncおよびfltk（RHSA-2017:2000）

critical Nessus プラグイン ID 102109

バージョン 3.14