CVE:CVE-2002-1511
CNNVD:CNNVD-200303-013
TightVNC是一款由Constantin Kaplinsky分发和维护的VNC(Virtual Network Computing)软件，用于远程图形化的连接访问，可使用在Microsoft Windows及各种Unix类操作系统下。
TightVNC使用不强壮的方式来生成随机X服务器验证Cookie，远程攻击者可以利用这个漏洞猜测验证Cookie，未授权访问X服务器。
VNC服务器作为X服务器的时候，启动此VNC的脚本生成MIT X Cookie(用于X验证)没有使用强壮的随机号码生成器，这可导致攻击者可以轻易猜测验证Cookie。
VNC DES验证即使使用'challenge-response'方式实现，对每个验证的尝试产生随机和不同的'挑战'，但是由于某个函数中的一个设计错误，生成的随机'挑战'采用每次验证尝试的当前时间作为随机种子，因此两个在同一秒的验证尝试可导致接收相同的'挑战'，通过网络嗅探和猜测可以未授权用户访问VNC服务器。
solution:Upgrade att vnc to a higher version than 3.3.3,3.3.3r2,3.3.4,3.3.5,3.3.6,and avoid the version 3.3.3,3.3.3r2,3.3.4,3.3.5,3.3.6; Upgrade tightvnc tightvnc to a higher version than 1.2.0,1.2.1,1.2.2,1.2.3,1.2.4,1.2.5,and avoid the version 1.2.0,1.2.1,1.2.2,1.2.3,1.2.4,1.2.5