CVE-2026-57157

Klient FreeRDP w wersji od 3.0.0 do 3.32.0 nie sprawdza wybranego przez serwer protokołu PROTOCOL_RDSTLS lub PROTOCOL_HYBRID_EX względem zestawu włączonych protokołów w nego_process_negotiation_response(), co pozwala na obniżenie poziomu protokołu bezpieczeństwa. Złośliwy serwer lub atakujący w środku może wybrać RDSTLS, aby obejść przypięcie /sec:nla, zakończyć uwierzytelnianie z zerowym plikiem cookie i otrzymać hasło użytkownika w postaci czystego tekstu w Client Info PDU.

FreeRDP w wersji od 3.17.1 do 3.32.0 zawiera podatność przepełnienia bufora sterty (heap buffer over-read) w DynvcTrackerHandleCreateBack obsługi kanału freerdp-proxy DRDYNVC, która pozwala złośliwym serwerom RDP na odczyt pamięci sterty poza granicami. Atakujący mogą wysłać CREATE_REQUEST_PDU, którego nazwa kanału nie zawiera bajtu NUL, powodując nieograniczony odczyt snprintf, który wycieka pamięć do logów proxy lub powoduje awarię procesu.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność typu heap out-of-bounds read. Złośliwy RD Gateway może ustawić MsgBytes znacznie większe niż ActualCount w komunikatach consent lub service, co powoduje odczyt poza zaalokowanym buforem podczas konwersji UTF-8 i awarię klienta.

FreeRDP w wersjach od 3.20.1 do 3.32.0 zawiera podatność niekontrolowanej alokacji zasobów. Złośliwy serwer RDP może wysłać żądanie IRP_MJ_READ z Length 0xffffffff, powodując alokację około 4 GiB wyzerowanej pamięci w kompilacjach 64-bitowych lub niedostatecznie zarezerwowany bufor w kompilacjach 32-bitowych.

FreeRDP w wersjach od 3.11.0 do 3.32.0 nie sprawdza, czy szerokości regionów AVC444 i AVC444v2 są parzyste przed konwersją YUV444. Nieparzysta szerokość prowadzi do asercji i przerwania działania klienta po negocjacji RDPGFX AVC444.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność use-after-free w emulacji karty inteligentnej, gdy SCARD_IOCTL_DISCONNECT i SCARD_IOCTL_TRANSMIT działają równocześnie na tym samym uchwycie karty. Złośliwy serwer RDP może nakładać te IRP-y przez osobne wątki kontekstu, powodując zwolnienie i ponowne użycie SCardHandle oraz uszkodzenie sterty i zakończenie procesu klienta.

FreeRDP w wersjach od 2.3.0 do 3.32.0 dereferencjonuje NULL stream w rdg_process_close_packet w libfreerdp/core/gateway/rdg.c, ponieważ rdg_process_control_packet akceptuje pakiet PKT_TYPE_CLOSE_CHANNEL zawierający tylko nagłówek i przekazuje pusty ładunek bez sprawdzenia. Złośliwy lub przejęty RD Gateway może wysłać ośmiobajtowy nagłówek CLOSE_CHANNEL, aby spowodować awarię klienta.

FreeRDP w wersjach od 2.3.0 do 3.32.0 zawiera podatność nieskończonej pętli w http_chuncked_read. Złośliwy RD Gateway może wysłać niekompletną odpowiedź chunked, powodując wieczne zapętlenie odczytów zerobajtowych i zawieszenie wątku dekodera klienta.

FreeRDP 3.0.0-beta1 do 3.32.0 na systemach Unix z obsługą PKCS#11 zawiera przepełnienie bufora na stosie w funkcji wprintKeyName() w dostawcy NCrypt PKCS#11 w WinPR. Funkcja koduje heksadecymalnie CKA_ID klucza (do 64 bajtów) do stałego 128-bajtowego bufora na stosie. Atakujący dostarczający złośliwy token lub moduł PKCS#11 z kluczem i certyfikatem o CKA_ID o długości 55-64 bajtów może przepełnić stos klienta podczas enumeracji kluczy, powodując awarię.

FreeRDP 3.0.0-beta4 do 3.32.0 zawiera dereferencję wskaźnika NULL w funkcji arm_handle_request_ok, gdy punkt końcowy ARM zwraca pustą treść odpowiedzi HTTP 200. Atakujący kontrolujący skonfigurowaną bramę ARM mogą zwrócić treść o zerowej długości, aby przekazać NULL do funkcji strnlen i spowodować awarię łączącego się klienta.