2017-0242: GTK-VNC: Zwei Schwachstellen ermöglichen die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2017-02-10 18:56): Neues Advisory
Version 2 (2017-02-21 10:28): Canonical stellt für Ubuntu 12.04 LTS und Ubuntu 14.04 LTS Sicherheitsupdates für GTK-VNC bereit.
Version 3 (2017-08-02 17:05): Red Hat stellt für die Red Hat Enterprise Linux 7 Produktvarianten Desktop, Server, Server for ARM, Workstation, Linux for IBM z Systems und Linux for Power (little endian und big endian) Sicherheitsupdates zur Behebung der Schwachstellen bereit. Mit den im Rahmen des Releases von Red Hat Enterprise Linux 7.4 veröffentlichten Updates wird 'gtk-vnc' auf Version 0.7.0 aktualisiert.
Version 4 (2017-08-08 15:46): Oracle stellt für Oracle Linux 7 (x86_64) 'gtk-vnc' in der Version 0.7.0 als Sicherheitsupdate bereit.
Version 5 (2021-09-17 12:56): Für SUSE OpenStack Cloud 8, 9, Crowbar 8 und Crowbar 9 sowie die SUSE Linux Enterprise Produkte Workstation Extension 12 SP5, Software Development Kit 12 SP5, Server for SAP 12 SP3 und SP4, Server 12 SP2 BCL, SP3 BCL, SP3 LTSS, SP4 LTSS und SP5 stehen Sicherheitsupdates für 'gtk-vnc' zur Verfügung, um die beiden referenzierten Schwachstellen sowie zwei weitere, nicht sicherheitsrelevante Fehler zu beheben.

Betroffene Software

Systemsoftware
Virtualisierung

Betroffene Plattformen

Netzwerk
Cloud
Linux
Oracle

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode mit den Rechten des angemeldeten Benutzers auszuführen oder einen Denial-of-Service (DoS)-Angriff durchzuführen. Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers.

Für Fedora 24 und 25 stehen Sicherheitsupdates in Form von 'gtk-vnc-0.7.0-1'- und 'mingw-gtk-vnc-0.7.0-1'-Paketen zur Verfügung. Das Sicherheitsupdate 'gtk-vnc-0.7.0-1.fc25' befindet sich bereits im Status 'stable', die anderen sind im Status 'testing'.

Schwachstellen:

CVE-2017-5884

Schwachstelle in GTK-VNC ermöglicht Ausführen beliebigen Programmcodes mit Benutzerrechten

CVE-2017-5885