CVE-2026-111374

FreeRDP w wersjach przed 3.32.0 zawiera po stronie klienta podatność polegającą na zapisie poza zakresem sterty w funkcjach general_LumaToYUV444 i general_ChromaV2ToYUV444. Złośliwy serwer RDP może wysłać ramki RDPGFX AVC444 lub AVC444v2 z prostokątami regionów o nieparzystej wysokości kończącymi się na wysokości powierzchni, co powoduje zapis poza płaszczyzny U/V.

FreeRDP w wersjach przed 3.32.0 zawiera podatność przepełnienia bufora sterty w funkcji persistent_cache_read_entry_v2. Lokalny atakujący może uszkodzić pamięć sterty poprzez zawinięcie liczb całkowitych w obliczeniach rozmiaru bitmapy, dostarczając specjalnie spreparowany plik trwałego bufora v2 z nadmiernymi wartościami szerokości i wysokości.

FreeRDP od wersji 3.29.0 do 3.32.0 zawiera przepełnienie liczb całkowitych w backendach audio Apple (audin_mac.m, audin_ios.m). Rozmiar bufora kolejki audio jest obliczany jako FramesPerPacket * 2 * nChannels w arytmetyce UINT32, co omija poprawkę CVE-2026-91962. Złośliwy serwer RDP może wysłać FramesPerPacket o wartości 2^30 w pakiecie audin Open PDU, powodując zawinięcie mnożenia i zbyt małe alokacje AudioQueueAllocateBuffer, prowadząc do zapisu poza zakresem sterty w klientach macOS i iOS.

FreeRDP w wersjach przed 3.32.0 zawiera podatność przepełnienia bufora sterty w funkcji persistent_cache_read_entry_v3. Lokalny atakujący może uszkodzić pamięć, dostarczając specjalnie spreparowany plik trwałego bufora v3 z dużymi wartościami szerokości i wysokości, które powodują zawinięcie obliczeń rozmiaru w persist_cache_get_data, prowadząc do przepełnienia bufora przez fread.

FreeRDP od wersji 3.0.0 do 3.32.0 zawiera podatność niekontrolowanego zużycia zasobów w funkcji parse_nla_mode_pdu. Nieuwierzytelniony atakujący może wyczerpać pamięć serwera, wysyłając bajty nie rozpoczynające się od znacznika DER SEQUENCE 0x30 po zakończeniu TLS, co powoduje nieograniczony wzrost bufora odbiorczego przed uwierzytelnieniem NLA.

FreeRDP od wersji 2.0.0 przed 3.32.0 zawiera podatność nieograniczonego reassembly w WTSProcessChannelData, która nie egzekwuje skumulowanych limitów fragmentów. Uwierzytelniony klient może rozpocząć wiadomość kanału statycznego, wstrzymać flagę LAST i wysyłać nieskończone fragmenty, wyczerpując pamięć serwera.

FreeRDP od wersji 3.30.0 przed 3.32.0 zawiera podatność heap out-of-bounds read w CliprdrStream_New klienta Windows, która pozwala złośliwym serwerom RDP wywołać nieprawidłowe odczyty pamięci poprzez krótkie odpowiedzi schowka. Atakujący może odpowiedzieć na żądanie FILECONTENTS_SIZE z cbRequested mniejszym niż osiem bajtów, gdy użytkownik wkleja zdalny plik.

FreeRDP w wersjach od 3.0.0 przed 3.32.0 zawiera podatność polegającą na odczycie poza granicami bufora w kliencie Windows RAIL. Złośliwy serwer RDP może wysłać tytuł okna bez zakończenia znakiem NUL, co prowadzi do nadmiernego odczytu sterty, uszkodzenia tytułów lub awarii klienta.

FreeRDP przed wersją 3.32.0 zawiera podatność polegającą na dereferencji wskaźnika NULL w transporcie websocket. Złośliwa brama może wysłać pingi o zerowej długości, co powoduje przekazanie nullptr do websocket_reply_close i awarię klienta.

FreeRDP przed wersją 3.21.0 zawiera podatność w parsowaniu FastGlyph, gdzie długość danych nie jest weryfikowana względem minimalnego rozmiaru wynikającego z wymiarów cx/cy. Złośliwy serwer może wywołać przepełnienie bufora po stronie klienta, prowadząc do awarii (DoS).