CVE-2014-8240
WysokieStreszczenie
Przepełnienie całkowitej liczby w TigerVNC umożliwia zdalnym serwerom VNC spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez problemy związane z obsługą rozmiaru ekranu, co prowadzi do przepełnienia bufora w stercie.
Ocena ryzyka
Organizacja może być narażona na awarie systemu oraz możliwość wykonania złośliwego kodu, co może prowadzić do utraty danych lub nieautoryzowanego dostępu.
Rekomendacja
Zaleca się aktualizację TigerVNC do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w TigerVNC
Zobacz wszystkie- CVE-2017-7396Wysokie
W TigerVNC w wersji 1.7.1 występuje podatność, która pozwala nieautoryzowanemu klientowi na spowodowanie niewielkiego wycieku pamięci na serwerze.
- CVE-2017-7394Wysokie
W TigerVNC 1.7.1 nieautoryzowani użytkownicy mogą spowodować awarię serwera, wysyłając długie nazwy użytkowników.
- CVE-2017-7393Wysokie
W TigerVNC 1.7.1, uwierzytelniony klient może spowodować podwójne zwolnienie pamięci, co prowadzi do odmowy usługi lub potencjalnego wykonania kodu.
- CVE-2017-7392Wysokie
W TigerVNC 1.7.1 występuje podatność, która pozwala nieautoryzowanemu klientowi na spowodowanie niewielkiego wycieku pamięci na serwerze.
- CVE-2016-10207Wysokie
Serwer Xvnc w TigerVNC pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wcześniejsze zakończenie handshake TLS, co prowadzi do nieprawidłowego dostępu do pamięci i awarii serwera.
- CVE-2017-5581Krytyczne
Przepełnienie bufora w funkcji ModifiablePixelBuffer::fillRect w TigerVNC przed wersją 1.7.1 umożliwia zdalnym serwerom wykonanie dowolnego kodu poprzez wiadomość RRE z podprostokątem poza granicami bufora ramki.
- CVE-2014-8241Krytyczne
XRegion w TigerVNC pozwala zdalnym serwerom VNC na spowodowanie odmowy usługi (dereferencja wskaźnika NULL) poprzez wykorzystanie braku sprawdzenia wartości zwracanej przez malloc, co jest podobnym problemem do CVE-2014-6052.
Oryginalny opis (angielski, źródło NVD)
Integer overflow in TigerVNC allows remote VNC servers to cause a denial of service (crash) and possibly execute arbitrary code via vectors related to screen size handling, which triggers a heap-based buffer overflow, a similar issue to CVE-2014-6051.