As seguintes respostas dependem se as sessões VNC forem iniciadas pelos usuários do sistema, ou se elas forem pré-iniciadas no servidor (por exemplo, você normalmente se conecta para um gerenciador de login)
Sessões iniciadas pelo usuário
Como é possível?
Pelo que eu posso reunir, o Centos7 normalmente usa o tigervnc.
O Tigervnc usa autenticação por padrão, mas qualquer um que inicie um servidor vnc pode passar a opção -SecurityTypes=None ao iniciá-lo. Quando isso é feito, não importa se o visualizador vnc está configurado para enviar credenciais ou não; o servidor não solicita credenciais e permite conectar e ver a sessão.
Como é necessário esforço para iniciar um servidor vnc sem segurança como esse no Centos7, eu diria que a pessoa que está usando a porta padrão não quis ser incomodada por um prompt de senha e fez de tudo para tornar sua sessão insegura .
Isso é realmente ruim?
Provavelmente, mas depende das políticas de quem executa o servidor. Se estiver em uma rede confiável usada apenas por pessoas confiáveis, talvez esteja ok. Isso é (ou deveria ser) bastante raro embora. Geralmente, é um problema quando alguém pode se passar por outra pessoa sem autenticação, autorização e auditoria, caso contrário, é difícil provar quem realmente fez alguma coisa em nome de alguém.
Você fez algo errado?
Desde que você não tenha feito nada como esse usuário, você não fez nada errado. A pessoa que iniciou o servidor fez algo errado.
VNC pré-iniciado
Como é possível?
Se o servidor estiver configurado para ter um pool de servidores VNC ou para iniciá-los sob demanda, se você puder se conectar a outra pessoa sem autenticação, qualquer pessoa poderá se conectar à sua sem autenticação (a menos que você inicie seu próprio servidor no máquina para sua sessão e certifique-se de ativar a autenticação).
O que aconteceu foi que o administrador configurou mal o serviço ou como inseguro de propósito. A configuração provavelmente deve ter sido gerar uma tela de login / de boas-vindas na conexão inicial e permitir que apenas um único cliente se conecte e efetue logout quando o cliente se desconectar. No entanto, está permitindo que mais de um cliente conecte-se por vez ("compartilhando" a conexão) ou está permitindo que a sessão persista após o iniciador ser desconectado.
Isso é realmente ruim?
Isso provavelmente é muito ruim, por motivos semelhantes à parte "User Started Sessions", mas possivelmente pior, porque o administrador pode não esperar esse comportamento. Isso é mais fácil de configurar incorretamente, especialmente se apenas copiar / colar configurações de exemplo on-line sem ler as instruções.
Você fez algo errado?
Nesse caso, você fez menos mal do que no caso de sessões iniciadas pelo usuário. Nesse caso, pode-se esperar que você saiba que o servidor em execução não é seu. Aqui, não havia como saber que já havia uma sessão de outra pessoa sendo executada na porta à qual você normalmente se conecta.