исследователи выявили 37 уязвимостей в популярных реализациях vnc эксперты « лаборатории касперского » изучили различные реализации системы удаленного доступа virtual network computing ( vnc ) и выявили множество проблем . эксплуатация некоторых из обнаруженных уязвимостей приводит к удаленному исполнению произвольного кода . на сегодняшний день система vnc , в том числе благодаря возможности кроссплатформенных реализаций и лицензии с открытым кодом , стала одной из самых распространенных . только по данным shodan , количество vnc-серверов составляет более 600 000 . с учетом устройств , доступных только внутри локальных сетей , можно с уверенностью сказать , что общее количество используемых vnc-серверов многократно ( возможно , на порядки ) больше . по данным аналитиков , vnc также активно применяется на объектах промышленной автоматизации . так , около 32 % компьютеров в индустриальной сети имеют различные установленные средства для удаленного администрирования , в том числе vnc . в ходе проведения исследования эксперты изучили наиболее часто встречающиеся реализации vnc , в том числе libvnc , ultravnc , tightvnc и turbovnc . realvnc проверять не стали , так как лицензия продукта не позволяет заниматься реверс-инжинирингом . в итоге экспертам удалось выявить 37 различных уязвимостей . более того , исследователи отмечают , что многие из обнаруженных проблем оказались « слишком простыми » и время жизни каждой из них было очень долгим . некоторые классы уязвимостей , обнаруженные в результате исследования , содержатся в большом количестве open-source проектов и сохраняются в даже после рефакторинга кодовой базы . к счастью , для эксплуатации серверных уязвимостей зачастую необходима парольная аутентификация , при этом из соображений безопасности сервер может не позволять пользователю установить беспарольный метод аутентификации . именно таким образом это , например , реализовано в ultravnc . исследователи пишут , что для того чтобы обезопасить себя от злоумышленников , клиентам не стоит подключаться к неизвестным vnc серверам , а администраторам надо настроить аутентификацию на сервере с сильным уникальным паролем . также разработчикам и производителям , которые используют в своих продуктах код сторонних vnc проектов , рекомендуется : настроить механизм отслеживания багов и следить за регулярными обновлениями до последних релизов ; добавить опции компиляции , усложняющие эксплуатацию возможных уязвимостей ; проводить фаззинг и тестирование проекта на всех архитектурах , для которых поставляется продукт ; использовать санитайзеры в ходе фаззинга и на этапе тестирования . детальную информацию о найденных в ходе анализа уязвимостях можно найти в отчете kaspersky ics cert .