وتؤكد الشركة أن استغلال بعض هذه الثغرات قد يؤدي إلى تنفيذ شيفرات برمجية خاصة عن بُعد من شأنها أن تؤثر في مستخدمي أنظمةVNC، عبر أكثر من 600,000 خادم يمكن الوصول إليها من الشبكة العالمية وحدها، وفقًا لموقعshodan.io. وبالنظر إلى أنه لا يمكن الوصول للأجهزة إلا عبر الشبكات المحلية، فإن العدد الحقيقي لتثبيتاتVNCهو أضعاف مضاعفة.
وتُستخدم أنظمة VNC لإتاحة الوصول عن بُعد من جهاز إلى آخر باستخدام بروتوكول RFB للتخزين المؤقت عن بعد. وأصبحت أنظمة VNC من أكثر أدوات مشاركة سطح المكتب شيوعًا حتى الآن، نظرًا لإتاحتها على منصات متنوعة ووجود إصدارات متعددة مفتوحة المصدر منها. وتُستخدم هذه الأنظمة في المنشآت الصناعية المؤتمتة التي تتيح التحكّم عن بعد في الأنظمة، مع تمتّع نحو 32 بالمئة من حواسيب الشبكات الصناعية بشكل من أشكال أدوات الإدارة عن بعد، والتي تشمل VNC.
ويمثل مستوى انتشار مثل هذه الأنظمة بشكل عام، وخاصة الأنظمة التي اكتشف ضعفها نتيجة الثغرات، مشكلة للقطاع الصناعي، في حين أن الأضرار المحتملة يمكن أن تُحدث خسائر كبيرة جرّاء تعطّل عمليات الإنتاج.
ودرس باحثو كاسبرسكي بعض أكثر أنظمة VNC شيوعًا: LibVNC، وUltraVNC، وTightVNC1.X، وTurboVNC.
ولم يكشف تحليل سابق لمشاريع VNC أجراه باحثون آخرون عن جميع الثغرات وبالتالي لم يتمّ تصحيحها جميعها. ونتيجة لذلك، أجرى خبراء كاسبرسكي تحليلًا أنشأوا به 37 سجلاً من سجلات CVE تحدّد الثغرات المختلفة. وقد عُثر على الثغرات في جانبي الأنظمة؛ لدى أجهزة المستخدمين وفي الخوادم. ويمكن أن يسمح بعض هذه الثغرات بتنفيذ تعليمات برمجية عن بُعد، والتي بدورها قد تسمح لجهة تخريبية بإجراء تغييرات اعتباطية على الأنظمة التي تجري مهاجمتها. ولكن لوحظ أنه لا يمكن استغلال العديد من الثغرات في جانب الخادم إلا باستخدام كلمة مرور، في حين لا تسمح بعض الخوادم بتهيئة إعدادات دخول دون كلمة مرور.
وأبدى بافل شيريموشكين الباحث لمختص بالثغرات في فريق الاستجابة لحالات الطوارئ الإلكترونية في نظم الرقابة الصناعية لدى كاسبرسكي، استغرابه لمدى "بساطة الثغرات المكتشفة، مع عمرها الممتد لفترة طويلة"، موضحّا أن هذا يعني احتمال أنها استُغلّت من قبل مهاجمين لاحظوها منذ وقت طويل، وقال: "توجد بعض فئات الثغرات الأمنية في العديد من المشاريع مفتوحة المصدر وتبقى هناك حتى بعد إعادة تشكيل قاعدة الشيفرات التي تضمّنت شيفرات معرضة للاستغلال. نحن في كاسبرسكي نرى أنه من المهم أن نكتشف بشكل منهجي مثل هذا العدد الكبير من المشاريع ذات الثغرات المبيّتة، لذلك نحرص على إجراء أبحاث من هذا النوع".
وقد نُقلت المعلومات حول جميع الثغرات المكتشفة إلى المطورين المعنيين، الذين أجرى جميعهم تقريبًا تصحيحات برمجية لهذه الثغرات، باستثناء TightVNC، الذين لا يقدّمون الدعم لهذا المنتج. لذلك يجب على مستخدميه النظر في خيارات نظام VNC البديلة المتاحة.
ويوصي خبراء كاسبرسكي المطورين ومستخدمي أدوات VNC باتباع التدابير التالية لمعالجة المخاطر المتعلقة بأدوات VNC الضعيفة:
يمكن الاطلاع على نسخة من التقرير المعنون "البحث في ثغرات نظم VNC"، المتاحة على ICS CERT.