現已提供適用於 Red Hat Enterprise Linux 7 的 tigervnc 與 fltk 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。虛擬網路計算 (VNC) 是一種遠端顯示系統，可讓使用者不只能在其執行的機器上檢視別台運算桌面環境，也能從網際網路的任何位置和多種機器架構進行檢視。TigerVNC 是 VNC 伺服器和用戶端的套件，可供使用者連線至其他執行 VNC 伺服器的桌面。FLTK (發音為「fulltick」) 是跨平台的 C++ GUI 工具組。其提供貨真價值的現代化 GUI 功能，且透過 OpenGL 及其內建 GLUT 模擬支援 3D 圖形。下列套件已升級至更新的上游版本：tigervnc (1.8.0)、fltk (1.3.4)。(BZ#1388620、BZ#1413598) 安全性修正：* 在 TigerVNC 的 Xvnc 伺服器中發現一個拒絕服務缺陷。未經驗證的遠端攻擊者可利用此缺陷，藉由提早終止 TLS 交握處理程序來造成 Xvnc 損毀。(CVE-2016-10207) * 在 TigerVNC 處理 ClientFence 訊息的方式中，發現一個重複釋放缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientFence 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7393) * 在 TigerVNC 處理憑證的方式中，發現一個遺失輸入清理缺陷。未經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的使用者名稱造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7394) * 在 TigerVNC 處理 ClientCutText 訊息的方式中，發現一個整數溢位缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientCutText 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7395) * 在 TigerVNC 檢視器中發現一個導致記憶體損毀的緩衝區溢位缺陷。遠端的惡意 VNC 伺服器可利用此缺陷，使用戶端 vncviewer 處理程序損毀，進而導致拒絕服務。(CVE-2017-5581) * 在 TigerVNC 處理 VeNCrypt 連線終止作業的方式中，發現一個記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7392) * 在 TigerVNC 處理用戶端連線的方式中，發現一個記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7396) 其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

ModifiablePixelBuffer: : fillRect 中發生緩衝區溢位

在 TigerVNC 檢視器中發現一個導致記憶體損毀的緩衝區溢位缺陷。遠端的惡意 VNC 伺服器可利用此缺陷，使用戶端 vncviewer 處理程序損毀，進而導致拒絕服務。
(CVE-2017-5581)

TLS 交握提早終止時，VNC 伺服器可能會當機：

在 TigerVNC 的 Xvnc 伺服器中發現一個拒絕服務缺陷。未經驗證的遠端攻擊者可利用此缺陷，藉由提早終止 TLS 交握處理程序來造成 Xvnc 損毀。(CVE-2016-10207)

SSecurityVeNCrypt 記憶體洩漏：

在 TigerVNC 處理 VeNCrypt 連線終止作業的方式中，發現一個記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。
(CVE-2017-7392)

透過特製的柵欄導致雙重釋放：

在 TigerVNC 處理 ClientFence 訊息的方式中，發現一個重複釋放缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientFence 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7393)

透過長使用者名稱導致伺服器當機：

在 TigerVNC 處理憑證的方式中，發現一個遺失輸入清理缺陷。未經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的使用者名稱造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7394)

SMsgReader: : readClientCutText 中的整數溢位：

在 TigerVNC 處理 ClientCutText 訊息的方式中，發現一個整數溢位缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientCutText 訊息造成 Xvnc 損毀，進而導致拒絕服務。
(CVE-2017-7395)

SecurityServer 和 ClientServer 記憶體洩漏：

在 TigerVNC 處理用戶端連線的方式中，發現一個記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7396)

來自 Red Hat 安全公告 2017:2000： 現已提供適用於 Red Hat Enterprise Linux 7 的 tigervnc 和 fltk 更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 虛擬網路計算 (VNC) 是一種遠端顯示系統，可讓使用者不只能在其執行的機器上檢視別台運算桌面環境，也能從網際網路的任何位置和多種機器架構進行檢視。TigerVNC 是 VNC 伺服器和用戶端的套件，可供使用者連線至其他執行 VNC 伺服器的桌面。 FLTK (發音為「fulltick」) 是跨平台的 C++ GUI 工具組。其提供貨真價值的現代化 GUI 功能，且透過 OpenGL 及其內建 GLUT 模擬支援 3D 圖形。 下列套件已升級到更新的上游版本： tigervnc (1.8.0)、fltk (1.3.4)。(BZ#1388620, BZ#1413598) 安全性修正： * 在 TigerVNC 的 Xvnc 伺服器中發現拒絕服務缺陷。未經驗證的遠端攻擊者可利用此缺陷，藉由提早終止 TLS 交握處理程序來造成 Xvnc 損毀。(CVE-2016-10207) * 在 TigerVNC 處理 ClientFence 訊息的方式中，發現雙重釋放缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientFence 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7393) * 在 TigerVNC 處理憑證的方式中，發現遺失輸入清理缺陷。未經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的使用者名稱造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7394) * 在 TigerVNC 處理 ClientCutText 訊息的方式中，發現整數溢位缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientCutText 訊息造成 Xvnc 損毀，進而導致拒絕服務。 (CVE-2017-7395) * 在 TigerVNC 檢視器中，發現導致記憶體損毀的緩衝區溢位缺陷。遠端的惡意 VNC 伺服器可利用此缺陷，使用戶端 vncviewer 處理程序損毀，進而導致拒絕服務。 (CVE-2017-5581) * 在 TigerVNC 處理 VeNCrypt 連線終止作業的方式中，發現記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。 (CVE-2017-7392) * 在 TigerVNC 處理用戶端連線的方式中，發現記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7396) 其他變更： 如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

FLTK (發音為「fulltick」) 是跨平台的 C++ GUI 工具組。其提供貨真價值的現代化 GUI 功能，且透過 OpenGL 及其內建 GLUT 模擬支援 3D 圖形。下列套件已升級至更新的上游版本：tigervnc (1.8.0)、fltk (1.3.4)。安全性修正：- 在 TigerVNC 的 Xvnc 伺服器中發現一個拒絕服務缺陷。未經驗證的遠端攻擊者可利用此缺陷，藉由提早終止 TLS 交握處理程序來造成 Xvnc 損毀。(CVE-2016-10207) - 在 TigerVNC 處理 ClientFence 訊息的方式中，發現一個重複釋放缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientFence 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7393) - 在 TigerVNC 處理憑證的方式中，發現一個遺失輸入清理缺陷。未經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的使用者名稱造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7394) - 在 TigerVNC 處理 ClientCutText 訊息的方式中，發現一個整數溢位缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientCutText 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7395) - 在 TigerVNC 檢視器中發現一個導致記憶體損毀的緩衝區溢位缺陷。遠端的惡意 VNC 伺服器可利用此缺陷，使用戶端 vncviewer 處理程序損毀，進而導致拒絕服務。(CVE-2017-5581) - 在 TigerVNC 處理 VeNCrypt 連線終止作業的方式中，發現一個記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7392) - 在 TigerVNC 處理用戶端連線的方式中，發現一個記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7396)

遠端主機受到 GLSA-201801-13 中所述的弱點影響 (TigerVNC多個弱點)

    在 TigerVNC 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。
  影響：

    攻擊者可執行任意程式碼，或造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:2000 公告中提及的多個弱點影響。

    虛擬網路計算 (VNC) 是一種遠端顯示系統，可讓使用者不只能在其執行的機器上檢視別台運算桌面環境，也能從網際網路的任何位置和多種機器架構進行檢視。TigerVNC 是 VNC 伺服器和用戶端的套件，可供使用者連線至其他執行 VNC 伺服器的桌面。

    FLTK (讀作 fulltick) 是跨平台 C++ GUI 工具組。其提供貨真價值的現代化 GUI 功能，且透過 OpenGL 及其內建 GLUT 模擬支援 3D 圖形。

    下列套件已升級至更新的上游版本：tigervnc (1.8.0)、fltk (1.3.4)。
    (BZ#1388620、BZ#1413598)

    安全性修正：

    * 在 TigerVNC 的 Xvnc 伺服器中發現拒絕服務缺陷。未經驗證的遠端攻擊者可利用此缺陷，藉由提早終止 TLS 交握處理程序來造成 Xvnc 損毀。(CVE-2016-10207)

    * 在 TigerVNC 處理 ClientFence 訊息的方式中，發現雙重釋放缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientFence 訊息造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7393)

    * 在 TigerVNC 處理憑證的方式中，發現遺失輸入清理缺陷。未經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的使用者名稱造成 Xvnc 損毀，進而導致拒絕服務。(CVE-2017-7394)

    * 在 TigerVNC 處理 ClientCutText 訊息的方式中，發現整數溢位缺陷。經驗證的遠端攻擊者可利用此缺陷，透過傳送特製的 ClientCutText 訊息造成 Xvnc 損毀，進而導致拒絕服務。 (CVE-2017-7395)

    * 在 TigerVNC 檢視器中，發現導致記憶體損毀的緩衝區溢位缺陷。遠端的惡意 VNC 伺服器可利用此缺陷，使用戶端 vncviewer 處理程序損毀，進而導致拒絕服務。
    (CVE-2017-5581)

    * 在 TigerVNC 處理 VeNCrypt 連線終止作業的方式中，發現記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。(CVE-2017-7392)

    * 在 TigerVNC 處理用戶端連線的方式中，發現記憶體洩漏缺陷。未經驗證的遠端攻擊者可重複傳送連線要求給 Xvnc 伺服器，造成伺服器長時間消耗大量記憶體資源，最終因記憶體耗盡而導致拒絕服務。
    (CVE-2017-7396)

    其他變更：

    如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 TigerVNC 1.7.1 (CConnection.cxx CConnection::CConnection) 中，未經驗證的用戶端可造成伺服器中發生少量記憶體洩漏。 (CVE-2017-7396)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2017-2026:01 公告中所提及。

    fltk FLTK (讀作 fulltick) 是跨平台 C GUI 工具組。
    其提供貨真價值的現代化 GUI 功能，且透過 OpenGL 及其內建 GLUT 模擬支援 3D 圖形。
    tigervnc 虛擬網路計算 (VNC) 是一種遠端顯示系統可讓您不只能在其執行的機器上檢視運算「桌面」環境也能從網際網路的任何位置和多種機器架構進行檢視。此套件包含的用戶端可讓您連線至其他執行 VNC 伺服器的桌面。
    CVE-2016-10207 在 Windows 和 OS X 上 18.0.0.343 和 21.x19.x 到 21.0.0.213 之前的 Adobe Flash Player以及 Linux 上 11.2.202.616 之前的 Adobe Flash Player 允許攻擊者透過不明向量執行任意程式碼或造成拒絕服務 (記憶體損毀)此與弱點比 CVE-2016-1012、 CVE-2016-1021、 CVE-2016-1022、 CVE-2016-1023、 CVE-2016-1024、 CVE-2016-1025、 [] 、 CVE-2016-1026CVE-2016-1027、 CVE-2016-1028、 CVE-2016-1029、 CVE-2016-1032和 CVE-2016-1033弱點。
    CVE-2017-5581 在 1.7.1 之前的 TigerVNC 中ModifiablePixelBuffer::fillRect 函式中的緩衝區溢位會允許遠端伺服器透過 subrectangle 在框架緩衝區邊界之外的 RRE 訊息執行任意程式碼。
    CVE-2017-7392 在 TigerVNC 1.7.1 (SSecurityVeNCrypt.cxx SSecurityVeNCrypt::SSecurityVeNCrypt) 中未經驗證的用戶端可造成伺服器中發生少量記憶體洩漏。
    CVE-2017-7393 在 TigerVNC 1.7.1 (VNCSConnectionST.cxx VNCSConnectionST::fence) 中經驗證的用戶端可造成重複釋放進而導致拒絕服務或可能執行程式碼。
    CVE-2017-7394 在 TigerVNC 1.7.1 (SSecurityPlain.cxx SSecurityPlain::processMsg) 中未經驗證的使用者可透過傳送長使用者名稱使伺服器當機。
    CVE-2017-7395 在 TigerVNC 1.7.1 (SMsgReader.cxx SMsgReader::readClientCutText) 中經驗證的用戶端可藉由造成整數溢位使伺服器當機。
    CVE-2017-7396 在 TigerVNC 1.7.1 (CConnection.cxx CConnection::CConnection) 中未經驗證的用戶端可造成伺服器中發生少量記憶體洩漏。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
102748	CentOS 7：fltk / tigervnc (CESA-2017:2000)	Nessus	CentOS Local Security Checks	2017/8/25	2025/11/25	critical
102867	Amazon Linux AMI：tigervnc (ALAS-2017-879)	Nessus	Amazon Linux Local Security Checks	2017/9/1	2025/11/25	critical
102293	Oracle Linux 7 : fltk / tigervnc (ELSA-2017-2000)	Nessus	Oracle Linux Local Security Checks	2017/8/9	2025/12/2	critical
102658	Scientific Linux 安全性更新：SL7.x x86_64 上的 tigervnc 和 fltk	Nessus	Scientific Linux Local Security Checks	2017/8/22	2025/11/26	critical
105757	GLSA-201801-13 TigerVNC多個弱點	Nessus	Gentoo Local Security Checks	2018/1/12	2025/11/6	high
102109	RHEL 7：tigervnc 與 fltk (RHSA-2017:2000)	Nessus	Red Hat Local Security Checks	2017/8/2	2025/12/4	critical
221727	Linux Distros 未修補弱點：CVE-2017-7396	Nessus	Misc.	2025/3/4	2025/9/4	high
288894	MiracleLinux 7fltk-1.3.4-1.el7, tigervnc-1.8.0-1.el7 (AXSA:2017-2026:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

high

critical

high

critical