Vulnérabilité dans LibVNCserver

Date de publication :

Une vulnérabilité critique de LibVNCserver, une librairie C permettant d’implémenter des fonctionnalités VNC (Virtual Network Computing) à des programmes, a été corrigée. Elle peut permettre à un attaquant distant et non identifié de provoquer un dépassement de tas pouvant amener à un plantage du système ainsi qu'à une exécution de code arbitraire.

CVE-2019-15690 [Score CVSS v3 : 9.8] : Un dépassement d’entier dans la fonction HandleCursorShape() peut provoquer un dépassement de tas dans LibVNCserver. Un attaquant distant et non authentifié peut utiliser cette vulnérabilité afin de provoquer un plantage du système et une exécution de code arbitraire. Pour cela, il doit réussir à amener un utilisateur à se connecter à un serveur malveillant. 

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Déni de service

Criticité

  • Score CVSS v3 : 9.8

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement

Composants vulnérables

  • LibVNCserver versions antérieures à la 0.9.12.2

CVE

  • CVE-2019-15690

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour LibVNCserver à la version 0.9.12.2

Solution de contournement

  • Ne pas utiliser LibVNCserver pour se connecter à des serveurs non sécurisés

Liens