Vino が、リモート接続を認証する前にクリップボードアクティビティを不適切に送信することが判明しました。リモートの攻撃者が、Vino に接続し、クリップボードアクティビティをモニターする可能性があります。

Red Hat セキュリティアドバイザリ 2013:0169 から：

複数のセキュリティ問題を修正する更新済みの vino パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Vino は、GNOME 用の仮想ネットワークコンピューティング（VNC）サーバーです。これを使用することでユーザーは VNC を使用して実行している GNOME セッションに接続できるようになります。

Vino が、Vino を実行しているシステム上のクリップボードアクティビティをすべて、ポート 5900 に接続しているクライアントすべてに転送していることが判明しました（認証されていないものも含む）。Vino を実行しているシステム上のポート 5900 にアクセスできるリモートの攻撃者は、この欠陥を利用して、認証せずにクリップボードのデータを読み取ることができます。(CVE-2012-4429)

Vino が特定のエンコーディングにおいてクライアントのフレームバッファリクエストを処理する方法で、2 つの領域外メモリ読み込みの欠陥が見つかりました。認証されているクライアントはこれらの欠陥を利用して、特別に細工されたリクエストを Vino に送信し、クラッシュさせることができます。（CVE-2011-0904、 CVE-2011-0905）

特定の状況下において、vino-preferences ダイアログボックスは、Vino がローカルネットワークからのみアクセス可能という誤った表示を行っていました。これにより、外部ネットワークからの接続が許可されていない（許可されている場合であっても）と思わせることで、ユーザーを混乱させていました。この更新を使用することで、 vino-preferences は、接続や到達可能な情報を表示しなくなります。(CVE-2011-1164)

Vino の設定において「ネットワークを自動的に構成し、接続を承認する」オプションが有効化されている際（デフォルトでは無効化されています）、ユーザーのネットワークルーターのポートを開くために、ユニバーサルプラグアンドプレイ（UPnP）が使用されても警告が表示されないことが判明しました。この更新はユーザーの同意なしでの UPnP ルーター構成の変更リスクを回避するために、オプションの説明を変更しています。(CVE-2011-1165)

Vino の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。この更新を有効にするには、 GNOME セッションを再起動（ログアウトしてから再びログイン）する必要があります。

複数のセキュリティ問題を修正する更新済みの vino パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Vino は、GNOME 用の仮想ネットワークコンピューティング（VNC）サーバーです。これを使用することでユーザーは VNC を使用して実行している GNOME セッションに接続できるようになります。

Vino が、Vino を実行しているシステム上のクリップボードアクティビティをすべて、ポート 5900 に接続しているクライアントすべてに転送していることが判明しました（認証されていないものも含む）。Vino を実行しているシステム上のポート 5900 にアクセスできるリモートの攻撃者は、この欠陥を利用して、認証せずにクリップボードのデータを読み取ることができます。(CVE-2012-4429)

Vino が特定のエンコーディングにおいてクライアントのフレームバッファリクエストを処理する方法で、2 つの領域外メモリ読み込みの欠陥が見つかりました。認証されているクライアントはこれらの欠陥を利用して、特別に細工されたリクエストを Vino に送信し、クラッシュさせることができます。（CVE-2011-0904、 CVE-2011-0905）

特定の状況下において、vino-preferences ダイアログボックスは、Vino がローカルネットワークからのみアクセス可能という誤った表示を行っていました。これにより、外部ネットワークからの接続が許可されていない（許可されている場合であっても）と思わせることで、ユーザーを混乱させていました。この更新を使用することで、 vino-preferences は、接続や到達可能な情報を表示しなくなります。(CVE-2011-1164)

Vino の設定において「ネットワークを自動的に構成し、接続を承認する」オプションが有効化されている際（デフォルトでは無効化されています）、ユーザーのネットワークルーターのポートを開くために、ユニバーサルプラグアンドプレイ（UPnP）が使用されても警告が表示されないことが判明しました。この更新はユーザーの同意なしでの UPnP ルーター構成の変更リスクを回避するために、オプションの説明を変更しています。(CVE-2011-1165)

Vino の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。この更新を有効にするには、 GNOME セッションを再起動（ログアウトしてから再びログイン）する必要があります。

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 2.28、2.32、3.4.2、およびそれ以前の Vino では、リモートの攻撃者が TCP ポート 5900 をリッスンすることで、クリップボードの動きを読み取ることができます。(CVE-2012-4429)

Vino が、Vino を実行しているシステム上のクリップボードアクティビティをすべて、ポート 5900 に接続しているクライアントすべてに転送していることが判明しました（認証されていないものも含む）。Vino を実行しているシステム上のポート 5900 にアクセスできるリモートの攻撃者は、この欠陥を利用して、認証せずにクリップボードのデータを読み取ることができます。(CVE-2012-4429)

Vino が特定のエンコーディングにおいてクライアントのフレームバッファリクエストを処理する方法で、2 つの領域外メモリ読み込みの欠陥が見つかりました。認証されているクライアントはこれらの欠陥を利用して、特別に細工されたリクエストを Vino に送信し、クラッシュさせることができます。（CVE-2011-0904、 CVE-2011-0905）

特定の状況下において、vino-preferences ダイアログボックスは、Vino がローカルネットワークからのみアクセス可能という誤った表示を行っていました。これにより、外部ネットワークからの接続が許可されていない（許可されている場合であっても）と思わせることで、ユーザーを混乱させていました。この更新を使用することで、 vino-preferences は、接続や到達可能な情報を表示しなくなります。(CVE-2011-1164)

Vino の設定において「ネットワークを自動的に構成し、接続を承認する」オプションが有効化されている際（デフォルトでは無効化されています）、ユーザーのネットワークルーターのポートを開くために、ユニバーサルプラグアンドプレイ（UPnP）が使用されても警告が表示されないことが判明しました。この更新はユーザーの同意なしでの UPnP ルーター構成の変更リスクを回避するために、オプションの説明を変更しています。(CVE-2011-1165)

この更新を有効にするには、 GNOME セッションを再起動（ログアウトしてから再びログイン）する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63666	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：vino の脆弱性（USN-1701-1）	Nessus	Ubuntu Local Security Checks	2013/1/23	2019/9/19	medium
68712	Oracle Linux 6：vino（ELSA-2013-0169）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63641	RHEL 6：vino（RHSA-2013:0169）	Nessus	Red Hat Local Security Checks	2013/1/22	2021/1/14	medium
80797	Oracle Solaris サードパーティのパッチの更新：vino（cve_2012_4429_information_leak）	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
63664	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の vino	Nessus	Scientific Linux Local Security Checks	2013/1/23	2021/1/14	medium
63671	CentOS 6：vino（CESA-2013:0169）	Nessus	CentOS Local Security Checks	2013/1/24	2021/1/4	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium