Ubuntu bionic: cập nhật TigerVNC để khắc phục lỗi tiết lộ thông tin qua mạng

Ubuntu đã công bố USN-9088-1 để sửa lỗi CVE-2020-26117 trong TigerVNC trên Ubuntu bionic. Xem thông báo bảo mật của Ubuntu để biết chi tiết về các gói bị ảnh hưởng và phiên bản sửa.

Tổng quan và thông tin kỹ thuật

TigerVNC là phần mềm truy cập và quản lý máy tính từ xa bằng giao thức VNC, gồm thành phần viewer và server. Lỗi được ghi nhận trong cách TigerVNC viewer lưu ngoại lệ chứng chỉ TLS.

Phạm vi ảnh hưởng

Thông báo liệt kê các gói TigerVNC trên Ubuntu bionic. Phiên bản sửa được cung cấp qua pocket esm-apps.

Cơ chế và tác động

TigerVNC viewer lưu ngoại lệ chứng chỉ TLS như các CA đáng tin cậy. Sau khi người dùng thêm ngoại lệ chứng chỉ cho máy chủ VNC của kẻ tấn công, kẻ tấn công từ xa có thể lợi dụng lỗi để mạo danh bất kỳ máy chủ VNC nào và có khả năng làm lộ thông tin nhạy cảm qua mạng.

Kiểm tra hệ thống

1. Kiểm tra phiên bản các gói TigerVNC đang cài trên Ubuntu bionic:

   Sao chép lệnh

   dpkg-query -W -f='${binary:Package} ${Version}\n' tigervnc-common tigervnc-scraping-server tigervnc-standalone-server tigervnc-viewer tigervnc-xorg-extension

2. Kiểm tra trạng thái Ubuntu Pro để xác nhận khả năng truy cập pocket esm-apps:

   Sao chép lệnh

   pro status

Các gói đã cài ở phiên bản 1.7.0+dfsg-8ubuntu2+esm1 hoặc mới hơn đã đạt phiên bản sửa lỗi; phiên bản thấp hơn cần cập nhật.

Khắc phục và giảm thiểu

1. Ưu tiên cập nhật các hệ thống Ubuntu bionic sử dụng TigerVNC, đặc biệt máy có viewer và đã thêm ngoại lệ chứng chỉ TLS.

2. Canonical khuyến nghị thực hiện cập nhật hệ thống tiêu chuẩn để áp dụng các thay đổi cần thiết. Các gói sửa lỗi dành cho Ubuntu bionic được cung cấp qua pocket esm-apps.