Podatności FreeRDP

FreeRDP w wersjach przed 3.32.2 nie ogranicza wymiarów docelowych i początku wyjścia dostarczanych przez serwer w pakietach RDPGFX MAPSURFACETOSCALEDOUTPUT, co pozwala złośliwym serwerom RDP na zakończenie klientów X11. Atakujący może zmapować powierzchnię na zbyt duże skalowane wyjście, wywołując błędy sprawdzanego rzutowania UINT16 lub asercji kroku freerdp_image_scale, które kończą klienta.

FreeRDP w wersjach przed 3.32.2 zawiera podatność na odmowę usługi w obsłudze RDPGFX ALPHA WIRETOSURFACE_2, która nie waliduje zerowych wymiarów powierzchni. Złośliwy serwer RDP może wysłać spreparowany pakiet WIRETOSURFACE_2 z zerową szerokością i wysokością, wywołując asercję lub dzielenie przez zero i zakończenie sesji klienta.

FreeRDP w wersjach przed 3.32.2 zawiera podatność na odmowę usługi, która pozwala złośliwym serwerom lub nieuwierzytelnionym peеrom przerwać klientów lub proxy poprzez zbyt duże tokeny routingu X.224. Atakujący mogą wysłać zbyt duży LoadBalanceInfo w pakiecie Server Redirection PDU lub token o rozmiarze 240–247 bajtów do FixedTarget freerdp-proxy, wywołując asercję tpdu_write_header, która crashuje proces.

FreeRDP w wersjach przed 3.32.2 zawiera podatność use-after-free w kanale przekierowania USB urbdrc, ponieważ FindChannelById zwraca wskaźnik kanału bez referencji, a ścieżka zamknięcia kanału kontrolnego nie bierze loading_lock menedżera urządzeń. Złośliwy serwer RDP może wysłać CLOSE_REQUEST kanału kontrolnego, gdy klient ogłasza urządzenie USB, zwalniając kanał zanim wątek ogłoszenia odczyta channel->Write i crashując klienta.

FreeRDP w wersjach przed 3.32.2 zawiera podatność na odmowę usługi w remdesk_server_thread serwera shadow, która pozwala uwierzytelnionym klientom crashować proces poprzez odwróconą kontrolę długości PDU. Atakujący mogą wysłać 8192-bajtowy ładunek remdesk deklarujący ośmiobajtową długość PDU, wywołując fatalną asercję Stream_Seek, przerywając serwer i zrywając sesje.

FreeRDP w wersjach przed 3.32.2 pozwala na przerwanie asercji klienta, ponieważ rdpgfx_on_data_received odrzuca tylko negatywny status zgfx_decompress i przekazuje wynikowy wskaźnik null do Stream_StaticConstInit. Złośliwy serwer RDP może wysłać ładunek ZGFX z zerowym wyjściem na kanale RDPGFX po aktywacji sesji, aby zakończyć klienta.

FreeRDP w wersjach przed 3.32.2 nie ogranicza OutputBufferLength w żądaniach IRP sterowania urządzeniem szeregowym, co pozwala złośliwym serwerom wywołać nadmierną alokację pamięci. Atakujący uruchamiający serwer z przekierowaniem szeregowym może wysłać żądanie IRP_MJ_DEVICE_CONTROL z IOCTL_USBPRINT_GET_1284_ID i prawie maksymalną długością, aby wyczerpać pamięć klienta.

FreeRDP w wersjach przed 3.32.2 zawiera podatność na odmowę usługi w serwerze shadow, która pozwala uwierzytelnionym klientom RDP zajmować wątki serwera poprzez wysyłanie zerowej długości pakietów DATA drdynvc. Atakujący mogą wysyłać puste wiadomości DATA na otwartych kanałach audin lub rdpgfx, tak że FreeRDP_WTSVirtualChannelRead nigdy ich nie konsumuje, zużywając pełne rdzenie CPU aż do rozłączenia.

FreeRDP w wersjach przed 3.32.2 zawiera podatność na odmowę usługi, gdzie zniekształcone żądanie DEVICE_IOREQUEST dysku z obciętym ciałem IRP_MJ_CREATE po cichu zabija wątek roboczy dysku. Złośliwy serwer RDP może wysłać takie IRP, a następnie kolejne żądania, które gromadzą się bez ograniczeń w IrpQueue, wyczerpując pamięć i powodując utratę dostępności sesji.

FreeRDP w wersjach przed 3.32.2 zawiera podatność dereferencji wskaźnika NULL, która pozwala złośliwym serwerom RDP crashować klientów xfreerdp poprzez wysłanie pakietu RDPGFX ResetGraphics o zerowej szerokości. Nieudane zmiana rozmiaru w gdi_resize_ex pozostawia główny wyświetlacz jako null bez zakończenia sesji, więc późniejsza aktualizacja bitmapy crashuje klienta w gdi_Bitmap_Paint.

FreeRDP w wersjach przed 3.32.2 zawiera podatność na odmowę usługi, gdzie rdg_process_packet wysyła PKT_TYPE_EXTENDED_AUTH_MSG bez weryfikacji wynegocjowanego trybu lub kontekstu uwierzytelniania. Złośliwy lub przejęty RD Gateway może wysłać pakiet rozszerzonego uwierzytelniania przed uwierzytelnieniem tunelu, wywołując dereferencję wskaźnika NULL, która crashuje klienta.

FreeRDP w wersjach przed 3.32.2 zawiera podatność typu denial-of-service w funkcji rdg_process_control_packet. Złośliwy serwer RD Gateway może wysłać niekompletny pakiet keepalive z nagłówkiem deklarującym długość 0xFFFF i wstrzymać treść, powodując nieskończoną pętlę odczytu bez postępu i pełne obciążenie CPU jednego wątku klienta.

FreeRDP w wersjach przed 3.32.2 zawiera podatność alokacji pamięci w funkcji rdg_receive_packet. Złośliwy serwer RD Gateway może wysłać ośmiobajtowy nagłówek RDG deklarujący długość pakietu 0x7FFFFFFF, wymuszając alokację 2 GiB pamięci przed uwierzytelnieniem tunelu i powodując wyczerpanie pamięci oraz denial-of-service.

FreeRDP w wersjach przed 3.32.2 zawiera podatność use-after-free między wątkami w module freerdp-proxy dyn-channel-dump podczas zamykania sesji. Złośliwy cel RDP może wysłać dane kanału dynamicznego w momencie rozłączenia klienta, powodując odczyt zwolnionej struktury ChannelData przez wątek klienta i awarię procesu proxy.

FreeRDP w wersjach przed 3.32.2 zawiera podatność przepełnienia bufora sterty (over-read) w funkcji save_png_to_buffer(). Złośliwy serwer RDP może przesłać dane schowka DIB 16 bpp, oferując obraz CF_DIB BI_BITFIELDS, który podczas konwersji do PNG osadza bajty sterty klienta w obrazie schowka, ujawniając pamięć.

Klienty FreeRDP od wersji 3.0.0 przed 3.32.2 zbudowane z verbose WinPR assertions zawierają osiągalny asercję w rts_read_auth_verifier wywołaną przez zniekształcony padding RTS. Atakujący kontrolujący RD Gateway może wysłać spreparowany pakiet RPC-over-HTTP RTS z niespójnym paddingiem uwierzytelniania, powodując przerwanie procesu klienta.

FreeRDP od wersji 3.17.0 przed 3.32.2 zawiera błąd asercji w dekoderze różnicowym RemoteFX, gdy włączone są verbose WinPR assertions. Złośliwy serwer RDP może wysłać spreparowany kafelek RemoteFX z sąsiednimi współczynnikami LL3 sumującymi się poza zakresem 16-bitowym ze znakiem, powodując przerwanie procesu klienta.

FreeRDP od wersji 3.11.0 przed 3.32.2 zawiera błąd asercji w dekoderze RLGR RemoteFX, który pozwala złośliwym serwerom na zakończenie klientów. Atakujący kontrolujący serwer RDP może wysłać zestaw kafelków RemoteFX z kodem RLGR 32767, wywołując asercję zwężenia ze znakiem w rfx_rlgr_decode i awarię klienta.

FreeRDP od wersji 3.0.0 przed 3.32.2 zawiera podatność denial-of-service, która pozwala złośliwym serwerom RDP na przerwanie klientów zbudowanych z verbose WinPR assertions poprzez wysłanie spreparowanych prostokątów regionu RemoteFX. Atakujący może podać prostokąt z x ustawionym na 65535 wraz z SurfaceBits z celem po lewej stronie 1, wywołując asercję współrzędnej 16-bitowej w rfx_process_message i zakończenie procesu klienta.

FreeRDP przed wersją 3.32.2 zawiera podatność na nieprawidłową walidację certyfikatów w tls_verify_certificate(), która akceptuje fallback Common Name mimo niedopasowanych wpisów SAN i dopasowuje literały IP do ciągów DNS. Atakujący typu man-in-the-middle posiadający certyfikat od zaufanego CA klienta może obejść weryfikację tożsamości serwera, aby przechwycić sesje RDP, w tym naciśnięcia klawiszy, schowek i zawartość ekranu.

FreeRDP od wersji 3.0.0 przed 3.32.2 zawiera wyciek deskryptora pliku w parallel_process_irp_create, który nie zamyka poprzednich deskryptorów przy powtarzających się żądaniach IRP_MJ_CREATE. Wrogi serwer RDP z włączonym przekierowaniem urządzeń równoległych może wysyłać powtarzające się żądania CREATE, wyczerpując tablicę deskryptorów klienta i powodując awarię procesu.

FreeRDP w wersji 3.0.0 przed 3.32.2 zbudowany z WITH_AAD=ON zawiera osiągalną asercję, ponieważ parser odpowiedzi bramy ARM akceptuje brakujące lub niebędące ciągiem pole redirectedServerCert i przekazuje pusty bufor do parsera certyfikatów. Złośliwa lub zniekształcona brama wybrana przez użytkownika może zwrócić taką odpowiedź, powodując przerwanie procesu klienta.

FreeRDP od wersji 3.27.0 przed 3.32.2 zawiera podatność na odmowę usługi w rdpdr_dump_packet, która pozwala złośliwym serwerom RDP na zakończenie klientów poprzez wysyłanie zniekształconych ogłoszeń listy urządzeń RDPDR. Atakujący może zadeklarować DeviceDataLength przekraczającą odebrany pakiet, wywołując krytyczną asercję Stream_Seek, gdy włączone są przekierowanie urządzeń, logowanie TRACE i asercje WinPR.

FreeRDP w wersjach od 3.0.0 przed 3.32.2 zawiera podatność na niekontrolowaną alokację zasobów, umożliwiającą złośliwym serwerom RDP wymuszenie dużych alokacji po stronie klienta poprzez pole DRDYNVC DATA_FIRST Length. Atakujący mogą zadeklarować długości do 4 294 967 295 bajtów na aktywnych kanałach dynamicznych, powodując rezerwację pamięci przez StreamPool_Take przed walidacją treści i wyczerpanie pamięci klienta.

FreeRDP w wersjach od 2.0.0 przed 3.32.2 zawiera podatność na odczyt poza granicami bufora w funkcji freerdp_dsp_decode_gsm610, umożliwiającą złośliwym serwerom RDP odczyt poza buforami audio poprzez wysyłanie obciętych ramek GSM610. Atakujący mogą wynegocjować GSM610 na rdpsnd i wysłać wiadomość WAVE2 krótszą niż 33- lub 32-bajtowa ramka WAV49, powodując awarię klienta.

FreeRDP przed wersją 3.32.2 zawiera podatność na odmowę usługi w funkcjach WinPR winpr_read_png_from_buffer() i winpr_convert_from_jpeg(), które nie obsługują błędów libpng/libjpeg. Złośliwy serwer RDP lub MITM może dostarczyć zniekształcony ładunek PNG lub obcięty JPEG w schowku, powodując przerwanie lub zakończenie działania klienta.

FreeRDP od wersji 2.0.0 przed 3.32.0 zawiera podatność nieprawidłowej walidacji certyfikatów w swoim proxy, która akceptuje niezaufane certyfikaty TLS celu, gdy nie skonfigurowano modułu weryfikacji. Atakujący znajdujący się w sieci może przechwycić połączenie wychodzące proxy i przedstawić certyfikat z podpisem własnym o nieprawidłowej nazwie hosta, aby podszyć się pod cel RDP i otrzymać dane sesji proxy.

FreeRDP w wersji 3.0.0 przed 3.32.0 zawiera podatność dereferencji wskaźnika null w backendzie emulacji kart inteligentnych, która akceptuje null jako nazwę czytnika w żądaniach SCardGetStatusChange. Złośliwy serwer RDP może wysłać spreparowany wpis stanu czytnika z null szReader, powodując awarię procesu klienta przez strcmp lub _wcscmp.

FreeRDP przed wersją 3.32.1 zawiera przepełnienie bufora na stercie w kanale rdpsnd po stronie serwera. Błąd wynika z przepełnienia arytmetycznego przy obliczaniu wyrównania bloków DVI_ADPCM w rdpsnd_server_select_format(), które omija walidację. Złośliwy klient RDP może wysłać dwa PDU SNDC_FORMATS z nBlockAlign zbyt małym dla nChannels, powodując nieograniczony zapis do sterty podczas odtwarzania dźwięku na serwerze, co potencjalnie umożliwia wykonanie kodu.

FreeRDP w wersjach przed 3.32.1 zawiera podatność odczytu poza granicami sterty w kliencie Android, która pozwala złośliwym serwerom RDP czytać poza bufory powierzchni poprzez dostarczanie niezwalidowanych wartości mappedWidth i mappedHeight. Atakujący może wysłać spreparowany RDPGFX_MAP_SURFACE_TO_WINDOW_PDU z nadmiernymi wymiarami, powodując kopiowanie pamięci sterty poza alokację przez android_UpdateWindowFromSurface, co prowadzi do awarii lub ujawnienia pamięci.

W FreeRDP przed wersją 3.32.1 występuje błąd odczytu poza granicami bufora (heap-based out-of-bounds read) w module WinPR podczas konwersji PNG do CF_DIB w schowku. Funkcja winpr_read_png_from_buffer() alokuje bufor bit-packed dla PNG o głębi bitowej poniżej 8, podczas gdy winpr_bitmap_write_buffer() kopiuje wiersze zakładając jeden bajt na piksel. Złośliwy serwer RDP może wysłać spreparowany ładunek PNG o niskiej głębi bitowej, który po wklejeniu przez ofiarę ujawnia megabajty pamięci sterty.

FreeRDP w wersji 3.32.0 zawiera podatność use-after-free w kanale drdynvc, która polega na zwolnieniu strumienia należącego do puli za pomocą dealokatora dla strumieni własnych, gdy totalLength jest mniejszy niż rozmiar fragmentu. Złośliwy serwer RDP może wysłać pojedynczy poprawny pakiet PDU kanału wirtualnego, aby wywołać zwolnienie i spowodować awarię klienta podczas zamykania.

FreeRDP przed wersją 3.32.1 w systemie Windows zawiera błąd odczytu poza granicami bufora (heap out-of-bounds read) w funkcji client_cli_present_gateway_message, która przekazuje liczbę bajtów jako precyzję printf dla szerokich znaków. Złośliwy serwer RD Gateway może wysłać komunikaty zgody lub usługi przed uwierzytelnieniem, powodując odczyt dwukrotnie większego bufora przez klienta, co prowadzi do wycieku pamięci sterty lub awarii.

FreeRDP od 3.14.1 przed 3.32.0 zawiera niedomiar liczby całkowitej w module WinPR BMP writer, gdzie błędne obliczenie stride przekazuje SIZE_MAX - 3 do Stream_Zero dla obrazów sub-byte. Złośliwy peer schowka RDP może zwrócić spreparowany obraz 1-bpp BMP przetwarzany przez clipboard_synthesize_image_format_to_bmp dla CF_DIB/CF_DIBV5, powodując awarię klienta lub zapis poza granicami bufora.

FreeRDP w wersjach od 2.0.0 przed 3.32.0 zawiera zapis poza granicami sterty w ścieżce NTLM hash-callback serwera, która nie waliduje przesunięcia MIC. Nieuwierzytelnieni atakujący mogą wysłać spreparowany AUTHENTICATE_MESSAGE z cofniętym przesunięciem klucza sesji i przesunięciem MIC, aby zapisać 16 bajtów zer poza alokacją.

FreeRDP w wersjach przed 3.32.0 zawiera po stronie klienta podatność polegającą na zapisie poza zakresem sterty w funkcjach general_LumaToYUV444 i general_ChromaV2ToYUV444. Złośliwy serwer RDP może wysłać ramki RDPGFX AVC444 lub AVC444v2 z prostokątami regionów o nieparzystej wysokości kończącymi się na wysokości powierzchni, co powoduje zapis poza płaszczyzny U/V.

FreeRDP w wersjach przed 3.32.0 zawiera podatność przepełnienia bufora sterty w funkcji persistent_cache_read_entry_v2. Lokalny atakujący może uszkodzić pamięć sterty poprzez zawinięcie liczb całkowitych w obliczeniach rozmiaru bitmapy, dostarczając specjalnie spreparowany plik trwałego bufora v2 z nadmiernymi wartościami szerokości i wysokości.

FreeRDP od wersji 3.29.0 do 3.32.0 zawiera przepełnienie liczb całkowitych w backendach audio Apple (audin_mac.m, audin_ios.m). Rozmiar bufora kolejki audio jest obliczany jako FramesPerPacket * 2 * nChannels w arytmetyce UINT32, co omija poprawkę CVE-2026-91962. Złośliwy serwer RDP może wysłać FramesPerPacket o wartości 2^30 w pakiecie audin Open PDU, powodując zawinięcie mnożenia i zbyt małe alokacje AudioQueueAllocateBuffer, prowadząc do zapisu poza zakresem sterty w klientach macOS i iOS.

FreeRDP w wersjach przed 3.32.0 zawiera podatność przepełnienia bufora sterty w funkcji persistent_cache_read_entry_v3. Lokalny atakujący może uszkodzić pamięć, dostarczając specjalnie spreparowany plik trwałego bufora v3 z dużymi wartościami szerokości i wysokości, które powodują zawinięcie obliczeń rozmiaru w persist_cache_get_data, prowadząc do przepełnienia bufora przez fread.

FreeRDP od wersji 3.0.0 do 3.32.0 zawiera podatność niekontrolowanego zużycia zasobów w funkcji parse_nla_mode_pdu. Nieuwierzytelniony atakujący może wyczerpać pamięć serwera, wysyłając bajty nie rozpoczynające się od znacznika DER SEQUENCE 0x30 po zakończeniu TLS, co powoduje nieograniczony wzrost bufora odbiorczego przed uwierzytelnieniem NLA.

FreeRDP od wersji 2.0.0 przed 3.32.0 zawiera podatność nieograniczonego reassembly w WTSProcessChannelData, która nie egzekwuje skumulowanych limitów fragmentów. Uwierzytelniony klient może rozpocząć wiadomość kanału statycznego, wstrzymać flagę LAST i wysyłać nieskończone fragmenty, wyczerpując pamięć serwera.

FreeRDP od wersji 3.30.0 przed 3.32.0 zawiera podatność heap out-of-bounds read w CliprdrStream_New klienta Windows, która pozwala złośliwym serwerom RDP wywołać nieprawidłowe odczyty pamięci poprzez krótkie odpowiedzi schowka. Atakujący może odpowiedzieć na żądanie FILECONTENTS_SIZE z cbRequested mniejszym niż osiem bajtów, gdy użytkownik wkleja zdalny plik.

FreeRDP w wersjach od 3.0.0 przed 3.32.0 zawiera podatność polegającą na odczycie poza granicami bufora w kliencie Windows RAIL. Złośliwy serwer RDP może wysłać tytuł okna bez zakończenia znakiem NUL, co prowadzi do nadmiernego odczytu sterty, uszkodzenia tytułów lub awarii klienta.

FreeRDP w wersjach od 3.30.0 przed 3.32.0 zawiera podatność polegającą na wyczerpaniu zasobów w kliencie rdpecam. Złośliwy serwer RDP może zażądać nieogłoszonych typów mediów kamery, wysyłając StartStreamsRequest z nadmiernymi wymiarami, co wymusza duże alokacje i rekonfigurację lokalnej kamery przez HAL.

FreeRDP przed wersją 3.32.0 zawiera podatność polegającą na dereferencji wskaźnika NULL w transporcie websocket. Złośliwa brama może wysłać pingi o zerowej długości, co powoduje przekazanie nullptr do websocket_reply_close i awarię klienta.

FreeRDP w wersjach od 3.3.0 przed 3.32.0, zbudowany z opcją WINPR_UTILS_IMAGE_JPEG=ON, ma zapis poza zakresem bufora sterty w funkcji winpr_convert_from_jpeg, ponieważ bufory dla obrazów JPEG w skali szarości są rozmiarowane na podstawie jednego składnika wejściowego zamiast trzech składników wyjściowych BGR. Złośliwy serwer RDP może zaoferować obraz JPEG w skali szarości przez przekierowanie schowka, uszkadzając pamięć klienta i powodując jego awarię przy wklejaniu elementu jako danych bitmapowych CF_DIB.

Serwer shadow FreeRDP od wersji 3.0.0 przed 3.32.0 wysyła pakiety PDU wejścia w stanie Confirm Active przed uwierzytelnieniem, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dane wejściowe z klawiatury. Atakujący może wynegocjować RDP tylko z TLS i wysłać pakiet PDU wejścia bez Confirm Active, aby wstrzyknąć syntetyczne naciśnięcia klawiszy do sesji X11 użytkownika hosta przez XTEST.

FreeRDP od wersji 2.0.0 przed 3.32.0, zbudowany z opcjami WITH_LAME=ON i WITH_DSP_FFMPEG=OFF, ma przepełnienie bufora sterty w funkcji freerdp_dsp_decode_mp3, ponieważ wskaźnik PCM prawego kanału jest przesunięty o liczbę bajtów traktowaną jako elementy typu short. Złośliwy serwer RDP może wysłać dźwięk MP3 przez rdpsnd, przez co zdekodowane próbki wykraczają poza alokację sterty, powodując awarię klienta.

FreeRDP od wersji 3.0.0 przed 3.32.0 zawiera podatność nieskończonej pętli w funkcji http_response_recv(), która pozwala złośliwym bramom wyczerpać CPU klienta poprzez spreparowane nagłówki Content-Type. Atakujący kontrolujący bramę może zwrócić niezerowy Content-Length z nierozpoznanym Content-Type zawierającym średnik, przypinając wątek klienta na pełnym obciążeniu CPU bez końca.

FreeRDP w wersjach 3.0.0 przed 3.32.0 pozwala na wstrzyknięcie nagłówka HTTP w swoim proxy, ponieważ pojedynczy znak LF w części docelowej tokenu routingu (Cookie: msts=) nie jest odrzucany i jest zapisywany przez http_proxy_connect do linii żądania CONNECT oraz nagłówka Host. Zdalny nieuwierzytelniony klient RDP łączący się z proxy używającym FixedTarget=false i nadrzędnego proxy HTTP może zmienić ramowanie żądań/nagłówków HTTP w tym nadrzędnym proxy.