Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 vino

medium Nessus Plugin ID 63664

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

據發現，Vino 已將執行 Vino 之系統上的所有剪貼簿活動，傳輸到所有連線至連接埠 5900 的用戶端 (即使尚未經過驗證)。如果遠端攻擊者能夠在執行 Vino 之系統上存取連接埠 5900，就可利用此瑕疵，且無需經過驗證便可讀取剪貼簿資料。(CVE-2012-4429)

在 Vino 處理特定編碼之用戶端框架緩衝區要求的方式中，發現兩個超出邊界記憶體讀取瑕疵。經過驗證的用戶端可利用這些瑕疵，傳送特製的要求至 Vino，進而導致 Vino 當機。(CVE-2011-0904、CVE-2011-0905)

在特定情況下，vino-preferences 對話方塊並未正確指出只能從本機網路存取 Vino。這可造成使用者混淆，誤認為不可從外部網路連線 (即使可行)。透過此更新，vino-preferences 不再顯示連線情況及可連線資訊。(CVE-2011-1164)

啟用 Vino 偏好設定中之「自動設定網路以接受連線」選項 (預設為停用) 時，並未警告已使用通用隨插即用 (UPnP) 開啟使用者網路路由器的連接埠。此更新會變更該選項的描述，以避免未經使用者同意變更 UPnP 路由器組態的風險。(CVE-2011-1165)

必須重新啟動 GNOME 工作階段 (登出後再接著重新登入)，此更新才會生效。