VNCサーバー/クライアント機能を実装するためのCライブラリであるlibvncserverに脆弱性があることが、Kaspersky Labによって発見されました。さらに、DLA 1617-1で対処された脆弱性の一部に、不完全な修正があることが見つかり、この更新プログラムで対処されています。

CVE-2018-15126

攻撃者が、tightvnc-filetransfer拡張機能のヒープのメモリ解放後使用（Use After Free）の問題を介して、サービス拒否またはリモートコードの実行を引き起こす可能性があります。

CVE-2018-20748 CVE-2018-20749 CVE-2018-20750

CVE-2018-20019およびCVE-2018-15127に対する領域外のヒープ書き込みに関する修正の一部が不完全でした。これらのCVEは、それらの問題に対処します。

Debian 8「Jessie」では、これらの問題はバージョン0.9.9+dfsg2-6.1+deb8u5で修正されました。

libvncserverパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1652-1: libvncserverのセキュリティ更新

critical Nessus プラグイン ID 121517

変更ログが見つかりません