Ultr@VNC.fr

Annonces et FAQ => Annonces => Discussion démarrée par: Sparad0x le 25 janvier 2008, 09:49:31

Titre: Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: Sparad0x le 25 janvier 2008, 09:49:31
MISE A JOUR du 8 Février 2008

ATTENTION, UNE NOUVELLE FAILLE a été découverte dans le client (vncviewer)...

Cette faille est du même type que la faille corrigée précédemment (débordement de buffer) mais située dans une autre partie du code et à priori moins facile à exploiter.
Nous avons passé en revue la majeure partie du code source du vncviewer mais nous continuons nos efforts afin d'erradiquer d'autres vulnérabilités s'il en reste.

Pour l'instant, seul la mise à jour en anglais est disponible ici: www.uvnc.com/download
La mise à jour est disponible en français sur www.ultravnc.fr, et en anglais sur www.uvnc.com.
Nous attendons des retours sur ce nouveau vncviewer.exe (en particulier au niveau du Transfert de Fichier) car la correction de la vulnerabilité a necessité plusieurs modifications dans le code...

Le client en version 1.0.2 et la dernière version 1.0.4 RC sont tous les deux concernées

- Cette vulnérabilité ne concerne que le client vncviewer
Elle pourrait permettre de prendre le controle illicite d'une machine exécutant le vncviewer en mode ECOUTE (ie: en attente d'une connexion inverse d'un serveur UltraVNC)
Elle pourrait permettre de prendre le controle illicite d'une machine exécutant un vncviewer qui tente de se connecter à une machine malveillante (en pensant que c'est un serveur UltraVNC normal)
Le serveur n'est PAS sensible à cette vulnérabilité

- Cette vulnérabilité pourrait être exploitée quand un plugin DSM est utilisé uniquement dans le cas où celui qui s'en sert disposerait du Fichier Clé  de cryptage utilisé par le client en mode écoute.


Rapport Secunia disponible ici: http://secunia.com/advisories/28804/





Alerte d'origine (Mise à jour de Securité 1 du Viewer)


ATTENTION, UNE FAILLE a été découverte dans le client (vncviewer)...

Le client en version 1.0.2 et la dernière version 1.0.4 RC sont tous les deux concernées

- Cette vulnérabilité ne concerne que le client vncviewer
Elle pourrait permettre de prendre le controle illicite d'une machine exécutant le vncviewer en mode ECOUTE (ie: en attente d'une connexion inverse d'un serveur UltraVNC)
Elle pourrait permettre de prendre le controle illicite d'une machine exécutant un vncviewer qui tente de se connecter à une machine malveillante (en pensant que c'est un serveur UltraVNC normal)
Le serveur n'est PAS sensible à cette vulnérabilité

- Cette vulnérabilité pourrait être exploitée quand un plugin DSM est utilisé uniquement dans le cas où celui qui s'en sert disposerait du Fichier Clé  de cryptage utilisé par le client en mode écoute.

Rapport Secunia disponible ici: http://secunia.com/advisories/28747/




=> Il est recommandé:

- De mettre à jour votre vncviewer.exe (client), pour TOUTES les versions.
- Ou d'éviter d'utiliser le client VNC en mode écoute
- Et de toujours se connecter à un serveur UltraVNC de confiance
- Et de toujours utiliser un plugin DSM

Téléchargement d'une version corrigée accessible via la page d'accueil du site:

http://www.ultravnc.fr



Rudi De Vos, UltraSam & Sparad0x

P.S: dès que le fichier de langue est mis à jour, je le met en ligne afin de pouvoir accéder aux nouvelles options introduites par cette version.
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: benjy le 25 janvier 2008, 14:01:05
Merci pour cette information essentielle sparad0x,

Donc la faille se situe au niveau d'un client en mode écoute , mais qui se connecte à qui ? j'ai pas tres bien pigé là  :-\
C'est le serveur qui se connecte au client mais le client devient serveur ?

Merci
benjy
Titre: Re : Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: wenceslas le 25 janvier 2008, 16:27:47
Hello All,

Merci beaucoup de prévenir Sparad0x.

Donc la faille se situe au niveau d'un client en mode écoute , mais qui se connecte à qui ? j'ai pas tres bien pigé là  :-\
C'est le serveur qui se connecte au client mais le client devient serveur ?

Merci
benjy
Tout à fait ! D'après l'explication de Sparad0x, quand le Client UltraVNC va se connecter au serveur (qu'il croit être le bon), un pirate se connecte sur ton Client, et peux prendre le contrôle de ton PC ....

++
Wens

Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: Sparad0x le 25 janvier 2008, 17:29:17
Ca y est, le client UltraVNC v1.0.4 est disponible au téléchargement avec le fichier de langue française.
Je n'ai pas vraiment eut le temps de tester le fichier de langue, aussi si vous trouver des erreurs, merci de me le signaler.

Have Fun ;)

Sparad0x
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: cdori le 28 janvier 2008, 10:56:43
c'est sympa j'ai recu un mail merci d'avoir pensé à moi, c'est pas une info dans le vent étant donné que je m'en sers très souvent. A partir de maintenant, je resterai encore plus vigilente  ;D

merci bcp pour l'info. bonne continuation et à très bientôt !!!  ;)
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: nadia le 28 janvier 2008, 12:46:13
Merci d'avoir prévenu  ;)
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: rip_pit le 28 janvier 2008, 17:37:20
merci pour l'info. Je m'en sert aussi régulièrement ....

Concernant les recommandations :
- mettre à jour votre vncviewer.exe (client), pour TOUTES les versions.  OK
- Ou d'éviter d'utiliser le client VNC en mode écoute : comment savoir si on le client est en mode Ecoute ?
- Et de toujours se connecter à un serveur UltraVNC de confiance OK
- Et de toujours utiliser un plugin DSM OK (MSRC4Plugin.dsm)
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: benjy le 28 janvier 2008, 17:54:50
comment savoir si on le client est en mode Ecoute ?
Icone verte en bas à droite
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: remi82 le 28 janvier 2008, 18:22:41
Merci beaucoup pour cette information.
Comme le dit cdori, ce n'est pas un mail dans le vent.
@+
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: kedlagl le 30 janvier 2008, 07:54:12
Bonjour SparaDox,

Merci pour l'info, c'est effectivement fondamental.

Bonne continuation

Cordialement  :)
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: remy_d1 le 04 février 2008, 16:55:36
Bonjour,

Est-ce que PCHelpWare est aussi affecté par cette faille ?

Cordialement
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: redge le 04 février 2008, 23:03:51
Non
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: rgm le 05 février 2008, 19:14:07
Bonsoir.

 Merci pour l'alerte. Suite a celle ci j'utilise la version 1.04 RC9 fr. Est ce que je suis toujours concerne par cette vulnerabilite? ??? :-\
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: redge le 05 février 2008, 22:26:30
dès la version RC9, vulnerabilité pour cette faille, non.
oui, jusqu'à la version RC11
non, dès la version 104 RC12, sauf nouvelle découverte d'une nouvelle faille de sécurité
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: UltraSam le 08 février 2008, 13:34:33
Mise à jour

Nouvelle vulnérabilité trouvée et corrigée dans vncviewer   :-[
Voir en haut de ce fil pour les détails.

UltraSam
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: Sparad0x le 09 février 2008, 10:01:39
Merci UltraSam!
Version Française mise à jour!
Je préviens les utilisateurs!

Have Fun ;)

Sparad0x
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: rip_pit le 09 février 2008, 17:28:47
merci a vous !
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: kliorgogan le 28 avril 2008, 23:26:55
Bonjour à tous

Est ce que le client est modifié dans l'installation complète ? (lien "Installeur Ultr@VNC 1.0.2 Complet Fr" )

merci de votre réponse. sinon par ailleurs quand je me connecte à ultra vnc par le web, il me marque que le certificat de sécurité à expiré. Peut il être mis à jour?

merci de vos réponses
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: wenceslas le 29 avril 2008, 08:40:39
Salut Kliorgogan,

NON, le client n'a pas été modifié dans l'installeur complet.

sinon par ailleurs quand je me connecte à ultra vnc par le web, il me marque que le certificat de sécurité à expiré. Peut il être mis à jour?
Je ne comprend pas bien ta question ...  :-\ Peux tu préciser stp ?

++
Wens
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: kliorgogan le 29 avril 2008, 13:43:24
quand je me connecte via le web sur cette adresse http://mon_serveur-ultraVNC:5800, j'ai ce message

(http://cdumdum.free.fr/signature_expire.jpg)

qui apparait et qui m'indique donc que la signature numérique du module java d'ultraVNC est obsolete. Est il possible de faire une mise à jour du certificat numérique ?

ce qui n'empêche pas la connexion de se faire si on continue le processus

merci de votre réponse

Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!!
Posté par: wenceslas le 29 avril 2008, 13:56:18
Salut Kliorgogan,

Ce fil de discution pourra sûrement t'aider : Digital Certificates (http://forum.ultravnc.info/viewtopic.php?t=4045&highlight=expired)
Dans le second post, Redge parle justement de certificat expiré.

En espérant que ça pourra t'aider.

++
Wens
Titre: Re : Vulnérabilité exploitable découverte dans les clients 1.0.2 et 1.0.4 RC !!!
Posté par: kliorgogan le 29 avril 2008, 17:48:16
Non, cela n'a pas réussi, j'ai signé directement le viewer et le serveur avec une signature ascertia qui signe un programme mais rien n'y fait, j'ai toujours le même message. Je suppose que le certificat est directement implémenté dans le module java du serveur et là je ne sait pas comment faire.