Avis du CERT-FR
Objet : Vulnérabilité dans libVNCServer
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
libVNCServer versions 0.8.1 et antérieures.
Résumé
Une vulnérabilité dans libVNCServer permet à un utilisateur distant de contourner la politique de sécurité du logiciel vulnérable.
Description
la bibliothèque de fonctions libVNCServer permet de mettre en œuvre des
services de bureau distant comme par exemple VNCServer.
Une erreur présente dans les fonctions d'authentification de cette
bibliothèque permet à un utilisateur distant de contourner
l'authentification mise en place dans une application basée sur cette
bibliothèque. Il peut alors obtenir un accès illégitime à tout ou partie
de l'application vulnérable.
Solution
La version 0.8.2 de libVNCServer corrige le problème :
http://www.sourceforge.net/project/showfiles.php?group_id=32584
Documentation
-
Rapport d'erreur Debian #376824
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=376824 -
Bulletin de sécurité Gentoo GLSA 200608-05 du 04 août 2006 :
http://www.gentoo.org/security/en/glsa/glsa-200608-05.xml -
Bulletin de sécurité Gentoo GLSA 200608-12 du 07 août 2006 concernant x11vnc :
http://www.gentoo.org/security/en/glsa/glsa-200608-12.xml -
Bulletin de sécurité Suse SUSE-SA:2006:042 du 26 juillet 2006 :
http://lists.suse.com/archive/suse-security-announce/2006-Jul/0008.html -
Site de libVNCServer :
http://libvncserver.sourceforge.net -
Référence CVE CVE-2006-2450
https://www.cve.org/CVERecord?id=CVE-2006-2450
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 juillet 2006 | version initiale. |
| 04 août 2006 | ajout des références aux bulletins de sécurité Gentoo et Suse. |
| 08 août 2006 | ajout de la référence au bulletin de sécurité Gentoo concernant x11vnc. |