Bulletin d'alerte Debian

DLA-2016-1 ssvnc -- Mise à jour de sécurité pour LTS

Date du rapport :
29 novembre 2019
Paquets concernés :
ssvnc
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 945827.
Dans le dictionnaire CVE du Mitre : CVE-2018-20020, CVE-2018-20021, CVE-2018-20022, CVE-2018-20024.
Plus de précisions :

Plusieurs vulnérabilités ont été identifiées dans le code VNC de ssvnc, un client VNC avec possibilités de chiffrement.

Les vulnérabilités référencées ci-dessous sont des problèmes qui, à l’origine, ont été signalés pour le paquet source libvncserver de Debian (qui fournit aussi la bibliothèque partagée libvncclient). Le paquet source ssvnc dans Debian incorpore une variante dépouillée et avec une correction personnalisée de libvncclient, par conséquent quelques correctifs de sécurité pour libvncclient nécessitent plus de portage.

  • CVE-2018-20020

    LibVNC contenait une vulnérabilité d’écriture de tas hors limites dans une structure dans le code du client VNC qui pourrait aboutir à l’exécution de code à distance

  • CVE-2018-20021

    LibVNC contenait une CWE-835 : vulnérabilité de boucle infinie dans le code du client VNC. Cette vulnérabilité permet à un attaquant de consommer un montant excessif de ressources telles que le CPU et la RAM

  • CVE-2018-20022

    LibVNC contenait plusieurs vulnérabilités CWE-665 : initialisation incorrecte dans le code du client VNC permettant à des attaquants de lire la mémoire de pile et pouvant être mal utilisée pour une divulgation d'informations. Combinée avec une autre vulnérabilité, cela pourrait être utilisé pour divulguer la disposition de la mémoire de pile et contourner ASLR.

  • CVE-2018-20024

    LibVNC contenait un déréférencement de pointeur NULL dans le code du client VNC pouvant aboutir à un déni de service.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 1.0.29-2+deb8u1.

Nous vous recommandons de mettre à jour vos paquets ssvnc.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.