CVE-2026-44296
WysokieStreszczenie
Deskflow, aplikacja do udostępniania klawiatury i myszy, ma podatność na zdalny atak typu denial of service (DoS) przed wersją 1.26.0.167. Atakujący mogą spowodować zablokowanie dostarczania danych wejściowych do wszystkich połączonych ekranów poprzez wysyłanie nieprawidłowych połączeń TCP.
Ocena ryzyka
Organizacja może doświadczyć przerw w działaniu usług, co prowadzi do zakłóceń w pracy użytkowników korzystających z Deskflow. W przypadku ataku, wszystkie połączenia mogą być dotknięte, co skutkuje znacznym spadkiem wydajności.
Rekomendacja
Zaleca się aktualizację Deskflow do wersji 1.26.0.167 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto monitorować połączenia TCP w celu wykrywania i blokowania potencjalnych ataków.
Inne podatności w Deskflow
Zobacz wszystkie- CVE-2026-65976Średnie
Deskflow to aplikacja do współdzielenia klawiatury i myszy. Od wersji 1.17.0 do builda ciągłego 1.26.0.300, połączony peer może wysyłać powtarzające się wiadomości DCLP DataChunk do funkcji ClipboardChunk::assemble(), co powoduje, że serwer lub klient dołącza dane poza zadeklarowanym rozmiarem DataStart i skonfigurowanym limitem schowka, wyczerpując pamięć odbiorcy. Problem naprawiono w buildzie ciągłym 1.26.0.300.
- CVE-2026-65832Wysokie
Deskflow to aplikacja do współdzielenia klawiatury i myszy. Przed ciągłą kompilacją 1.26.0.299, zdalny nieuwierzytelniony serwer Deskflow może wysłać wartości kMsgDSetOptions (DSOP) do ServerProxy::setOptions() w src/lib/client/ServerProxy.cpp, tak że wartość po opcji modyfikatora zatruwa m_modifierTranslationTable, po czym ServerProxy::translateKey() lub ServerProxy::translateModifierMask() indeksuje siedmiowierszowe tablice s_translationTable lub s_masks poza zakresem, ujawniając cztery bajty na wybranym przez atakującego względnym przesunięciu lub powodując awarię połączonego klienta; nieparzysta liczba opcji również powoduje odczyt OptionsList poza zakresem. Problem został naprawiony w ciągłej kompilacji 1.26.0.299.
- CVE-2026-63409Wysokie
Deskflow od wersji 1.17.0 do ciągłej kompilacji 1.26.0.296 zawiera podatność, gdzie złośliwy serwer Deskflow może wysłać wektor DSOP o nieparzystej długości, powodując odczyt poza zakresem i awarię połączonego klienta.
Oryginalny opis (angielski, źródło NVD)
Deskflow is a keyboard and mouse sharing app. Prior to 1.26.0.167, a remote, unauthenticated denial of service (DoS) vulnerability affects Deskflow servers running with TLS enabled (the default). When any TCP peer connects to the listening port and its first bytes do not parse as a valid TLS ClientHello, SecureSocket::secureAccept enters its fatal-error branch and calls Arch::sleep(1) (a blocking 1-second sleep) on the multiplexer worker thread. That thread services every socket on the server, including established TLS clients delivering mouse motion, keyboard events, and clipboard updates. A single failed handshake therefore stalls input delivery to all connected screens for ~1 second, and a sustained drip of malformed connections (≥ 1/s) makes the server effectively unusable while the attack persists. This vulnerability is fixed in 1.26.0.167.