Kritisch

TigerVNC accessible via the network and not just via a UNIX socket as intended

Veröffentlicht: 12.04.2025
Aktualisiert: 11.10.2026 12:20

Summary

jupyter-remote-desktop-proxy was meant to rely on UNIX sockets readable only by the current user since version 3.0.0, but when used with TigerVNC, the VNC server started by jupyter-remote-desktop-proxy were still accessible via the network.

This vulnerability does not affect users having TurboVNC as the vncserver executable.

Credits

This vulnerability was identified by Arne Gottwald at University of Göttingen and analyzed, reported, and reviewed by @frejanordsiek.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	jupyter-remote-desktop-proxy	>= 3.0.0, < 3.0.1	3.0.1

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Schwäche (CWE): CWE-668
Plattform: Python (PyPI)
Paket: jupyter-remote-desktop-proxy
Veröffentlicht: 12.04.2025
Aktualisiert: 11.10.2026 12:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vrq4-9hc3-cgp7 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-365 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: jupyter-remote-desktop-proxy

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Dies ist die einzige bekannte Schwachstelle dieses Pakets.

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden