Amazon Linux 2tigervnc --advisory ALAS2-2025-3065 (ALAS-2025-3065)
high Nessus Plugin ID 274666
語言:
概要
遠端 Amazon Linux 2 主機缺少安全性更新。說明
遠端主機上安裝的 tigervnc 版本早於 1.8.0-24。因此，會受到 ALAS2-2025-3065 公告中所提及的多個弱點影響。處理 X11 Present 延伸模組通知時在 X.Org X 伺服器和 Xwayland 中發現一個瑕疵。
若在通知建立期間未適當處理錯誤會留下懸置指標進而導致釋放後使用情形。這可造成記憶體損毀或當機可能允許攻擊者執行任意程式碼或造成拒絕服務。 (CVE-2025-62229)
移除用戶端的 Xkb 資源時XkbRemoveResourceClient() 函式將釋放與裝置相關聯的 XkbInterest 資料但不會釋放與其相關聯的資源。因此當用戶端終止時資源刪除函式會觸發釋放後使用。
注意：https://lists.x.org/archives/xorg-announce/2025-October/003635.htmlNOTE: 修正者：
https://gitlab.freedesktop.org/xorg/xserver/-/commit/99790a2c9205a52fbbec01f21a92c9b7f4ed1d8fNOTE: 修正者 https://gitlab.freedesktop.org/xorg/xserver/-/commit/10c94238bdad17c11707e0bdaaa3a9cd54c504beNOTE:Fixed 修正者 https://gitlab.freedesktop.org/xorg/xserver/-/commit/865089ca70840c0f13a61df135f7b44a9782a175(xorg-server-21.1.19)NOTE: 修正者
https://gitlab.freedesktop.org/xorg/xserver/-/commit/87fe2553937a99fd914ad0cde999376a3adc3839 (xorg-server-21.1.19) (CVE-2025-62230)
XkbCompatMap 結構使用不帶正負號的短值儲存其部分值但無法檢查輸入資料的總和是否可溢位最大不帶正負號的短值
在 X11R6 中引入
已在xorg-server-21.1.19 和 xwayland-24.1.9Fix 中修正
https://gitlab.freedesktop.org/xorg/xserver/-/commit/475d9f49
注意：https://lists.x.org/archives/xorg-announce/2025-October/003635.htmlNOTE: 修正者：
https://gitlab.freedesktop.org/xorg/xserver/-/commit/475d9f49acd0e55bc0b089ed77f732ad18585470NOTE: 修正者 https://gitlab.freedesktop.org/xorg/xserver/-/commit/3baad99f9c15028ed8c3e3d8408e5ec35db155aa (xorg-server-21.1.19) (CVE-2025-62231)
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「yum update tigervnc」或 或「yum update --advisory ALAS2-2025-3065」以更新系統。另請參閱
https://alas.aws.amazon.com//AL2/ALAS2-2025-3065.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2025-62229.html
Plugin 詳細資訊
嚴重性: High
ID: 274666
檔案名稱: al2_ALAS-2025-3065.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2025/11/11
已更新: 2025/11/11
支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
風險資訊
VPR
風險因素: High
分數: 7.0
CVSS v2
風險因素: High
基本分數: 9
時間性分數: 6.7
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2025-62231
CVSS v3
風險因素: High
基本分數: 7.3
時間性分數: 6.4
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:amazon:linux:tigervnc-icons, p-cpe:/a:amazon:linux:tigervnc-server-module, p-cpe:/a:amazon:linux:tigervnc-debuginfo, p-cpe:/a:amazon:linux:tigervnc, p-cpe:/a:amazon:linux:tigervnc-server-applet, p-cpe:/a:amazon:linux:tigervnc-server-minimal, cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:tigervnc-server, p-cpe:/a:amazon:linux:tigervnc-license
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2025/11/10
弱點發布日期: 2025/10/28