Malas noticias para los programadores de software de todo el mundo. Investigadores de análisis de vulnerabilidades reportan el hallazgo de 37 fallas de seguridad que afectan cuatro importantes implementaciones del software de código abierto Virtual Network Computing (VNC).
Pavel Cheremushkin, investigador de Kaspersky Labs, fue el encargado de encontrar las vulnerabilidades en los productos LibVNC, TightVNC 1.x, TurboVNC y UltraVNC. En su reporte, el experto especificó que RealVNC, probablemente la más popular implementación de este software, no fue sometida a análisis puesto que no permite la ingeniería inversa.
El alcance de las vulnerabilidades es amplio, pues estos sistemas pueden ser ejecutados en una amplia variedad de sistemas operativos, incluyendo los más populares, como Windows, Linux, macOS, iOS y Android.
Según expertos en análisis de vulnerabilidades, una implementación VNC se compone de dos partes: cliente y servidor. Su composición permite a los usuarios de VNC acceder de forma remota a una máquina que ejecute un servidor VNC con la ayuda de un cliente empleando un protocolo RFB de transmisión de imágenes en pantalla, movimiento del mouse y envío de registros en el teclado.
En su reporte, el experto menciona que descubrió más de 600 mil servidores VNC accesibles de forma remota a través de Internet público usando Shodan. Al parecer todas las vulnerabilidades reportadas por Cheremushkin tienen que ver con el uso incorrecto de la memoria y su explotación conduce a condiciones de denegación de servicio (DoS), funcionamiento incorrecto, acceso no autorizado a la información de los usuarios e incluso ejecución de código malicioso en el sistema objetivo.
La mayoría de las fallas de seguridad ya han sido corregidas, aunque existen casos en los que hasta ahora no se han lanzado parches de seguridad. Uno de estos casos es el de TightVNC 1.x, pues sus desarrolladores consideran innecesario lanzar parches para la primera versión del software, que ha dejado de recibir soporte para el sistema TightVNC.
En resumen, las vulnerabilidades encontradas por el experto en análisis de vulnerabilidades son:
- LibVNC: Se descubrieron desbordamientos de búfer en la biblioteca LibVNC que podrían permitir a un hacker esquivar algunas medidas de seguridad para ejecutar código de forma remota en el lado del cliente
- ThightVNC: Se encontró una desreferencia de puntero que conduce a estados de denegación de servicio (DoS) y desbordamientos de búfer que podrían permitir la ejecución remota de código
- TurboVNC: Existe una vulnerabilidad de desbordamiento de búfer en el servidor de TurboVNC que podría permitir la ejecución remota de código. Este ataque requiere autorización en el servidor o control sobre el cliente antes de comenzar la conexión
- UltraVNC: Esta es la implementación donde más fallas descubrió el experto, desde desbordamientos de búfer hasta vulnerabilidades poco comunes y explotables en escenarios reales. El hallazgo más destacado es una vulnerabilidad que conduce a condiciones DoS y, en otros casos, a ejecución remota de códig
A pesar de que algunas fallas son de gravedad considerable, no todo son malas noticias, pues Cheremushkin añade que es necesario que un atacante cuente con autenticación para explotar cualquiera de las vulnerabilidades descubiertas del lado del servidor, por lo que se mitiga ampliamente el riesgo de explotación.
Especialistas en análisis de vulnerabilidades del Instituto Internacional de Seguridad Cibernética (IICS) mencionan que una medida de protección posible para los clientes es evitar conectarse a servidores VNC desconocidos; además, los administradores podrían configurar la autenticación en el servidor para evitar explotaciones desde ese vector.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
