Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 5 (19.05.2017):
Für Fedora 24 und 25 wurden die ursprünglichen Builds
‘libvncserver-0.9.11-2.fc24’ und ‘libvncserver-0.9.11-2.fc25’ entfernt und
durch die neuen Builds ‘libvncserver-0.9.11-2.fc24.1’ und
‘libvncserver-0.9.11-2.fc25.1’ ersetzt, die sich derzeit auch wieder im
Status ‘testing’ befinden.
Version 4 (18.05.2017):
Für Fedora 24, 25 und 26 steht LibVNCServer in der Version 0.9.11 als
Sicherheitsupdate im Status ‘testing’ bereit. Zudem beinhalten die Pakete
Fehlerbehebungen für die Kompatibilität mit ‘gnutls’ und ‘gtk-vnc’.
Version 3 (12.01.2017):
Canonical stellt für die Distributionen Ubuntu 16.10, Ubuntu 16.04 LTS,
Ubuntu 14.04 LTS und Ubuntu 12.04 LTS verschiedene
Backport-Sicherheitsupdates für den LibVNCServer zur Verfügung.
Version 2 (11.01.2017):
Für die SUSE Linux Enterprise Produkte Software Development Kit, Server
und Debuginfo in Version 11 SP4 stehen Sicherheitsupdates für LibVNCServer
bereit.
Version 1 (06.01.2017):
Neues Advisory
Betroffene Software:
LibVNCServer < 0.9.11 Betroffene Plattformen: SUSE Linux Enterprise Debuginfo 11 SP4 SUSE Linux Enterprise Software Development Kit 11 SP4 Canonical Ubuntu Linux 12.04 LTS Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 16.10 Debian Linux 8.6 Jessie Debian Linux 9.0 Stretch SUSE Linux Enterprise Server 11 SP4 Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Zwei Schwachstellen in LibVNCClient können von einem entfernten, nicht authentifizierten Angreifer mit Hilfe eines LibVNCServers ausgenutzt werden, um Klienten-seitig einen Denial-of-Service-Zustand zu erzeugen oder beliebigen Programmcode auszuführen, da an zwei Stellen im Programmcode ein Pufferüberlauf auf dem Heap provoziert werden kann. Der Hersteller stellt die Version 0.9.11 von LibVNCServer bereit, um die Schwachstellen zu beheben. LibVNCClient ist Teil des Pakets. Debian stellt für die Distributionen Debian Jessie (stable) und Stretch (testing) Sicherheitsupdates zur Verfügung. Patch: LibVNCServer 0.9.11 Release Notes https://github.com/LibVNC/libvncserver/releases/tag/LibVNCServer-0.9.11
Patch:
Debian Security Advisory DSA-3753-1
https://www.debian.org/security/2017/dsa-3753
Patch:
SUSE Security Update SUSE-SU-2017:0104-1
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002550.html
Patch:
Ubuntu Security Notice USN-3171-1
http://www.ubuntu.com/usn/usn-3171-1/
Patch:
Fedora Security Update FEDORA-2017-0e08170fd3 (Fedora 25,
libvncserver-0.9.11-2.fc25.1)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0e08170fd3
Patch:
Fedora Security Update FEDORA-2017-6125002d79 (Fedora 26,
libvncserver-0.9.11-2.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-6125002d79
Patch:
Fedora Security Update FEDORA-2017-dd5d2381e4 (Fedora 24,
libvncserver-0.9.11-2.fc24.1)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-dd5d2381e4
CVE-2016-9942: Schwachstelle in LibVNCClient ermöglicht
Denial-of-Service-Angriff und Ausführung beliebigen Programmcodes
In LibVNCClient in LibVNCServer vor Version 0.9.11 verwendet der ‘Ultra Type
Tile’-Dekoder nicht die Variante ‘_safe’ des
LZO-Dekomprimierungsalgorithmus. Ein entfernter, nicht authentifizierter
Angreifer kann mit Hilfe eines speziell präparierten LibVNCServers Teile des
Heap-Speichers des Klienten überschreiben und dadurch einen
Denial-of-Service-Zustand auslösen und möglicherweise beliebigen
Programmcode ausführen.
CVE-2016-9941: Schwachstelle in LibVNCClient ermöglicht
Denial-of-Service-Angriff und Ausführung beliebigen Programmcodes
In LibVNCClient in LibVNCServer vor Version 0.9.11 wird zwar innerhalb von
‘rfbproto.c’ geprüft, ob das jeweilige FramebufferUpdate-Rechteck zu groß
ist, allerdings prüfen das nicht alle Kodierungs-Dekoder. Ein entfernter,
nicht authentifizierter Angreifer kann mit Hilfe eines speziell präparierten
LibVNCServers, der Inhalte für den LibVNCClient zur Verfügung stellt, Teile
des Heap-Speichers des Klienten überschreiben und dadurch einen
Denial-of-Service-Zustand auslösen und möglicherweise beliebigen
Programmcode ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0025/
LibVNCServer 0.9.11 Release Notes:
https://github.com/LibVNC/libvncserver/releases/tag/LibVNCServer-0.9.11
Schwachstelle CVE-2016-9941 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9941
Schwachstelle CVE-2016-9942 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9942
Debian Security Advisory DSA-3753-1:
https://www.debian.org/security/2017/dsa-3753
SUSE Security Update SUSE-SU-2017:0104-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002550.html
Ubuntu Security Notice USN-3171-1:
http://www.ubuntu.com/usn/usn-3171-1/
Fedora Security Update FEDORA-2017-0e08170fd3 (Fedora 25,
libvncserver-0.9.11-2.fc25.1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-0e08170fd3
Fedora Security Update FEDORA-2017-6125002d79 (Fedora 26,
libvncserver-0.9.11-2.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-6125002d79
Fedora Security Update FEDORA-2017-dd5d2381e4 (Fedora 24,
libvncserver-0.9.11-2.fc24.1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-dd5d2381e4
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
