Amazon Linux AMI：tigervnc (ALAS-2017-879 )
critical Nessus プラグイン ID 102867
Language:
概要
リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。説明
ModifiablePixelBuffer のバッファオーバーフロー: : fillRectTigerVNC ビューアーにメモリ破損につながるバッファオーバーフローの欠陥が見つかりました。悪意のあるリモート VNC サーバーがこの欠陥を利用して、クライアントの vncviewer プロセスをクラッシュさせ、サービス拒否を引き起こす可能性があります。
(CVE-2017-5581)
TLS ハンドシェイクが早期に終了すると、VNC サーバーがクラッシュする可能性があります:
TigerVNC の Xvnc サーバーにサービス拒否の欠陥が見つかりました。認証されていないリモートの攻撃者がこの欠陥を利用して、TLSハンドシェイクプロセスを早期終了されることでXvncをクラッシュさせる可能性があります。 (CVE-2016-10207)
SSecurityVeNCryptメモリリーク：
TigerVNCがVeNCrypt接続の終了を処理する方法に、メモリリークの欠陥が見つかりました。認証されていないリモートの攻撃者が、接続リクエストを繰り返しXvncサーバーに送信して、時間をかけてサーバーに多量のメモリリソースを消費させ、最終的にメモリ枯渇によりサービス拒否を引き起こす可能性があります。
(CVE-2017-7392)
細工されたフェンスを介した二重解放：
TigerVNCがClientFenceメッセージを処理する方法に、二重解放の欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたClientFenceメッセージを送信してXvncをクラッシュさせ、サービス拒否を引き起こす可能性があります。 (CVE-2017-7393)
長いユーザー名によるサーバーのクラッシュ：
TigerVNCが資格情報を処理する方法に入力がサニタイズされない欠陥が見つかりました。認証されていないリモートの攻撃者がこの欠陥を利用して、特別に細工されたユーザー名を送信してXvncをクラッシュさせ、サービス拒否を引き起こす可能性があります。 (CVE-2017-7394)
SMsgReader の整数オーバーフロー: : readClientCutText:
TigerVNC が ClientCutText メッセージを処理する方法に、整数オーバーフローの欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたClientCutTextメッセージを送信してXvncをクラッシュさせ、サービス拒否を引き起こす可能性があります。
(CVE-2017-7395)
SecurityServer と ClientServer のメモリリーク：
TigerVNCがクライアント接続を処理する方法にメモリリークの欠陥が見つかりました。認証されていないリモートの攻撃者が、接続リクエストを繰り返しXvncサーバーに送信して、時間をかけてサーバーに多量のメモリリソースを消費させ、最終的にメモリ枯渇によりサービス拒否を引き起こす可能性があります。 (CVE-2017-7396)
ソリューション
｢yum update tigervnc｣を実行してシステムを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 102867
ファイル名: ala_ALAS-2017-879.nasl
バージョン: 3.2
タイプ: local
エージェント: unix
公開日: 2017/9/1
更新日: 2018/4/18
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.8
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: Critical
基本値: 9.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
脆弱性情報
CPE: p-cpe:/a:amazon:linux:tigervnc, p-cpe:/a:amazon:linux:tigervnc-debuginfo, p-cpe:/a:amazon:linux:tigervnc-server, p-cpe:/a:amazon:linux:tigervnc-server-module, cpe:/o:amazon:linux
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
パッチ公開日: 2017/8/31
参照情報
CVE: CVE-2016-10207, CVE-2017-5581, CVE-2017-7392, CVE-2017-7393, CVE-2017-7394, CVE-2017-7395, CVE-2017-7396
ALAS: 2017-879