CVE-2016-9942
KrytyczneStreszczenie
W bibliotece LibVNCClient w LibVNCServer przed wersją 0.9.11 występuje przepełnienie bufora oparte na stercie, które może być wykorzystane przez zdalne serwery. Atakujący może spowodować awarię aplikacji lub potencjalnie wykonać dowolny kod, wysyłając spreparowaną wiadomość FramebufferUpdate z typem Ultra.
Ocena ryzyka
Podatność ta może prowadzić do awarii usługi oraz umożliwić zdalne wykonanie kodu, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji LibVNCServer 0.9.11 lub nowszej, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych prób dostępu.
Oryginalny opis (angielski, źródło NVD)
Heap-based buffer overflow in ultra.c in LibVNCClient in LibVNCServer before 0.9.11 allows remote servers to cause a denial of service (application crash) or possibly execute arbitrary code via a crafted FramebufferUpdate message with the Ultra type tile, such that the LZO payload decompressed length exceeds what is specified by the tile dimensions.