Een deze week ontdekt beveiligingsgat in remote-desktopsoftware RealVNC 4.1.1 stelt kwaadwillenden in staat computers op afstand over te nemen zonder het wachtwoord te hoeven weten of kraken. Dit meldt ontdekker IntelliAdmin.
IntelliAdmin, producent van beheerprogramma's en hulpmiddelen voor Windows, stuitte op het gat. Het bedrijf biedt nu proof of concept code waarmee beheerders kunnen controleren of hun VNC-installatie deze kwetsbaarheid heeft. Die testsoftware is wegens de grote toevloed van bezoekers mogelijk tijdelijk niet beschikbaar.
De ontdekker zegt nu te werken aan een geheel herschreven versie van de open source software voor beheer op afstand. Het commerciële product RealVNC stamt af van VNC, waarvan vele varianten bestaan en dat ooit is ontwikkeld door ingenieurs van een ontwikkellab van AT&T.
Dit product gebruik je toch ook niet rechtstreeks! Je opent eerst een VPN tunnels (zoals ssh) voordat je bij dit soort tools kunt!
Management tools zoals VNC, PCAnywhere en consorten zijn altijd een gevaar geweest. Maar net zoals een Telnetsessie niet zomaar van uit het internet zou mogen worden opgezet naar b.v. een router zijn dit soort tools ook niet de manier om van buiten de eigen infrastructuur de core bedrijfsinfrastructuur te beheren. VPN, SSH of een andere manier om encapsulated sessies op te zetten is een mogelijkheid maar is het echt nodig? Hoe minder verleiding er is voor “3e partijen” die vanuit het Internet activeiten ondernemen die het daglicht niet kunnen verdragen, hoe minder kans voor incidenten.
VNC is altijd een gewild. Dit is niet de eerste vulnerability die geexploiteerd kan worden en zeker ook niet de laatste. VNC gebruikt zowiezo een zwak password protection mechanisme. In 2002 was er de man in the middle exploit, in 2005 verschillende. En er zijn nog zoveel ports van de populaire tool dat er evenzoveel exploits te vinden zijn.
Inderdaad ….ofwel via ADD NEW Client (omgekeerd). De client neemt het initiatief ….
Helaas zijn er ruim 65 procent van de gebruikers niet op deze manier mee bezig. Wij doen regelmatig v.a. tests en vinden daar met grote regelmaat remote managment tools actief op de draaiende systemen.
gr
Dan zit die 65% van de gebruikers dus fout. Je gaat ook niet de slotenmaker verwijten dat het voor de inbreker zo makkelijk is de sleutel onder de bloempot vandaan te pakken.