Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
27/08/2012
Apple Remote Desktop no xifrava el tràfic encara que així estiguera marcat
S’ha confirmat l’existència d’una vulnerabilitat en Apple Remote Desktop. Podria permetre a usuaris maliciosos accedir a informació sensible.Apple Remote Desktop és una ferramenta per a la gestió remota d’equips Mac, dissenyada per a la gestió d’equips en xarxa. És compatible amb VNC i permet usar-se com a «visor» per a altres servidors que funcionen com a servidor VNC.
El problema es dóna perquè, inclús connectant a un servidor VNC d’un tercer amb l’opció «Encrypt all network data» (xifrar totes les dades de xarxa) activada, la informació s’envia sense xifrar. El programa tampoc alerta sobre el fet que les dades no seran xifrades.
Per a evitar açò, s’ha de crear un túnel SSH per a la connexió VNC. El problema va ser introduït en la versió 3.5.2, de juny d’enguany, i s’ha mantingut fins a la 3.6. Es recomana l’actualització a la versió 3.6.1.
Sistemes Afectats:
Apple Remote Desktop versions 3.5.2 fins a la 3.6
Referències:CVE-2012-0681
Solució:Actualitzar l’aplicació des de la Mac App Store, o bé des de la pàgina de descàrregues d’Apple.
Notes:
About the security content of Apple Remote Desktop 3.6.1