CVE-2019-8280

UltraVNC: podatność out-of-bounds w dekoderze RAW klienta VNC (RCE)

CVSS 9.8v3.0pub. 2019-03-08upd. 2024-11-21

UltraVNC w rewizji 1203 zawiera podatność dostępu poza granicami bufora (out-of-bounds access) w dekoderze RAW klienta VNC, która może prowadzić do zdalnego wykonania kodu. Podatność jest dostępna przez sieć bez uwierzytelnienia, co czyni ją szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

UltraVNC revision 1203 has out-of-bounds access vulnerability in VNC client inside RAW decoder, which can potentially result code execution. This attack appear to be exploitable via network connectivity. This vulnerability has been fixed in revision 1204.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej obsłudze pamięci w dekoderze protokołu RAW wewnątrz klienta UltraVNC — klasyfikowany jako CWE-788 (dostęp do pamięci po końcu bufora) oraz CWE-125/CWE-787 (odczyt i zapis poza granicami bufora). Atakujący może skonstruować specjalnie spreparowane dane sieciowe, które wymuszą operacje na obszarach pamięci poza dozwolonym zakresem. Skuteczne wykorzystanie podatności może doprowadzić do wykonania dowolnego kodu w kontekście procesu klienta VNC.

Skutki

Atakujący może zdalnie wykonać dowolny kod (RCE) na maszynie z uruchomionym klientem UltraVNC, potencjalnie przejmując pełną kontrolę nad systemem, w tym uzyskując dostęp do poufnych danych i możliwość modyfikacji systemu.

Mitygacja

Należy zaktualizować UltraVNC do rewizji 1204 lub nowszej, w której podatność została naprawiona. Dodatkowo zaleca się ograniczenie dostępu sieciowego do klientów VNC za pomocą firewall oraz monitorowanie komunikacji VNC pod kątem anomalii.

Kogo dotyczy

UltraVNC rewizja 1203 (klient VNC)

Uwagi

Podatność dotyczy również systemów przemysłowych (ICS/SCADA) — US-CERT opublikował dedykowane ostrzeżenie ICS (ICSA-21-131-11), a Siemens wydał trzy oddzielne biuletyny bezpieczeństwa (SSA-286838, SSA-927095, SSA-940818) dotyczące swoich produktów wykorzystujących UltraVNC. Odkrycie zgłoszone przez Kaspersky ICS CERT (identyfikator KLCERT-19-009, data publikacji 2019-03-01).