來自 Red Hat 安全公告 2017:2000： 現已提供適用於 Red Hat Enterprise Linux 7 的 tigervnc 和 fltk 更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 虛擬網路計算 (VNC) 是一種遠端顯示系統，可讓使用者不只能在其執行的機器上檢視別台運算桌面環境，也能從網際網路的任何位置和多種機器架構進行檢視。TigerVNC 是 VNC 伺服器和用戶端的套件，可供使用者連線至其他執行 VNC 伺服器的桌面。 FLTK (發音為「fulltick」) 是跨平台的 C++ GUI 工具組。其提供貨真價值的現代化 GUI 功能，且透過 OpenGL 及其內建 GLUT 模擬支援 3D 圖形。 下列套件已升級到更新的上游版本： tigervnc (1.8.0)、fltk (1.3.4)。(BZ#1388620, BZ#1413598) 安全性修正： * 在 TigerVNC 的 Xvnc 伺服器中發現拒絕服務缺陷。未經驗證的遠端攻擊者可利用此缺陷，藉由提早終止 TLS 交握處理程序來造成 Xvnc 損毀。(CVE-2016-10207) * 在 TigerVNC 處理 ClientFence 訊息的方式中，發現雙重釋放缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientFence 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7393) * 在 TigerVNC 處理憑證的方式中，發現遺失輸入清理缺陷。未經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的使用者名稱造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7394) * 在 TigerVNC 處理 ClientCutText 訊息的方式中，發現整數溢位缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientCutText 訊息造成 Xvnc 損毀，進而導致拒絕服務。 (CVE-2017-7395) * 在 TigerVNC 檢視器中，發現導致記憶體損毀的緩衝區溢位缺陷。遠端的惡意 VNC 伺服器可利用此缺陷，使用戶端 vncviewer 處理程序損毀，進而導致拒絕服務。 (CVE-2017-5581) * 在 TigerVNC 處理 VeNCrypt 連線終止作業的方式中，發現記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。 (CVE-2017-7392) * 在 TigerVNC 處理用戶端連線的方式中，發現記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7396) 其他變更： 如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

偵測

Oracle Linux 7 : fltk / tigervnc (ELSA-2017-2000)

critical Nessus Plugin ID 102293

找不到變更記錄