4款VNC开源专案含有37个安全漏洞
情境图，Photo by Jilbert Ebrahimi on https://unsplash.com/photos/pVEcNabAg9o
资安业者卡巴斯基（Kaspersky）于上周警告，他们在奠基于虚拟网络运算（Virtual Network Computing，VNC）协定的4款开源实作中发现了37个安全漏洞，全都与错误的内存使用有关，有些可能造成服务阻断，但严重的可能允许骇客存取装置上的资讯或植入恶意程式。
VNC为一常见的远端存取系统，被广泛部署在技术支援、设备监控、远端学习或其它目的上，而基于VNC的应用程序通常是由两个部分组成，一是安装在电脑上的服务器，另一是执行在远端装置的客户端程式，以用来连结服务器。
这次卡巴斯基所检验的4款开源VNC应用，分别是可用来连结虚拟机器的LibVNC、通常应用在工业自动化系统的TightVNC 1.X、被应用在远端绘图/3D/影片物件的TurboVNC，以及专为Windows所设计且被广泛使用在工业生产中的UltraVNC。
结果研究人员在UltraVNC中发现了22个漏洞，在LibVNC中发现10个漏洞，TightVNC也含有4个漏洞，而TurboVNC则仅有一个漏洞。
在卡巴斯基撰写报告并公布上述漏洞之前，已先行知会相关的开发人员，除了TightVNC之外，其它多已修补完毕；这是因为开发人员已不再支援TightVNC的第一个版本，而且拒绝修补它们。卡巴斯基则建议使用者应考虑改用其它VNC平台。
此外，研究人员也警告，如同许多的开源专案，含有漏洞的程式码可能被应用在其它程式中，但并非所有开发人员都会留心他们所借用的函式库是否更新，这些程式将依然存有漏洞，而且很可能永远不会被修补。
卡巴斯基建议网管人员应监控企业架构中的远端存取程式，包括检查哪些装置能够远端存取并移除不必要的存取权限，清点所有的远端存取应用，以强密码来保护VNC服务器，勿连结不可靠或未经测试的VNC服务器，以及采用专门的安全解决方案等。
