CVE-2021-42785

El fallo está del lado del cliente: TightVNC Viewer (tvnviewer.exe) tiene un buffer overflow en la forma en que analiza un paquete FramebufferUpdate, de modo que un servidor VNC malicioso puede enviar un paquete manipulado que desborda un búfer en el viewer que se conecta y ejecuta código arbitrario. La dirección del ataque es la parte notable: no es el servidor el que es comprometido, es la persona que se conecta hacia un servidor VNC hostil o comprometido.

Esa inversión cambia el modelo de amenaza. La víctima tiene que iniciar una conexión hacia un servidor controlado por el atacante, así que los escenarios realistas son atraer a alguien a conectarse a un endpoint fraudulento, o un servidor VNC legítimo que es comprometido y luego vuelto contra cada cliente que se conecta a él. Los administradores y el personal de soporte que hacen VNC hacia muchos hosts son los objetivos naturales, y como es del lado del cliente, el código se ejecuta en su estación de trabajo —a menudo un jump box privilegiado—. No es explotable en masa por internet en el sentido de rastreo de servidores, pero un patrón de servidor-comprometido-ataca-clientes es una manera comprobada de moverse hacia las máquinas de los operadores.

Nuestro enfoque es pensarlo como un riesgo de cliente/endpoint y considerar el encadenamiento. Dondequiera que se use TightVNC Viewer —especialmente en jump hosts de administradores— lo rastrearíamos como un elemento de software de endpoint a actualizar, ya que parchear el viewer elimina la exposición sin importar con qué servidores hable. Lo clasificaríamos más alto para el personal de soporte privilegiado cuyas estaciones de trabajo son de alto valor, y señalaríamos la desagradable cadena: un atacante que compromete un servidor VNC puede usar esto para cosechar a los administradores que se conectan a él.