Podatności FreeRDP

FreeRDP w wersjach przed 3.31.0 zawiera podatność na ujawnienie informacji w serializatorze PDU ResetGraphics serwera RDPGFX, który nie inicjalizuje bajtów wypełnienia w stałym formacie 340 bajtów. Atakujący mogą otrzymać niezainicjalizowaną pamięć sterty, w tym aktywne wskaźniki i adresy funkcji GLib przesyłane w PDU.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na odczyt poza granicami bufora w dekoderach odpowiedzi smartcard, które nie walidują pól długości ATR względem stałych tablic wbudowanych. Uwierzytelnieni klienci RDP mogą wysłać nadmierne długości ATR w odpowiedziach PAKID_CORE_DEVICE_IOCOMPLETION, aby wywołać odczyty poza obiektami stosu lub sterty.

FreeRDP przed wersją 3.31.0 zawiera podatność odczytu poza zakresem sterty w funkcji general_ChromaV1ToYUV444 podczas rekonstrukcji płaszczyzny chrominancji AVC444. Złośliwy serwer RDP może stworzyć RFX_AVC444_BITMAP_STREAM z określoną geometrią ramki, aby wywołać odczyt poza przydzieloną płaszczyzną luminancji.

FreeRDP w wersjach od 3.0.0 do 3.30.0 (przed 3.31.0) przesyła niezainicjalizowaną pamięć sterty w zarezerwowanych polach wyrównania w PDU Save Session Info. Trzy funkcje zapisu PDU w libfreerdp/core/info.c używają Stream_Seek zamiast Stream_Zero dla zarezerwowanych bajtów (do 576 bajtów), pozostawiając wcześniej zwolnione dane sterty w wychodzącym PDU. Ponieważ bufor wysyłki jest alokowany przez malloc (nie zerowany), stare dane sterty — w tym potencjalnie poświadczenia w postaci jawnego tekstu z poprzednich sesji — mogą zostać wysłane do odbierającego peera. Serwery oparte na FreeRDP używające rdpUpdate::SaveSessionInfo oraz freerdp-proxy (który przekazuje te PDU) są dotknięte, co pozwala na ujawnienie pamięci procesu serwera/proxy klientowi.

W FreeRDP przed wersją 3.28.0 funkcja rdpsnd_server_recv_formats zwalnia pamięć context->client_formats po otrzymaniu nieprawidłowego pakietu Client Audio Formats PDU, nie czyszcząc wskaźnika ani licznika. Uwierzytelniony klient RDP może wywołać błąd, pozostawiając wiszący wskaźnik, co prowadzi do podwójnego zwolnienia pamięci przy zamykaniu sesji. Może to spowodować awarię serwera i uszkodzenie sterty.

FreeRDP przed wersją 3.28.0 zawiera podatność, w której uwierzytelniony klient RDP może zareklamować DVI ADPCM z nBlockAlign równym 8 i nChannels równym 2, aby obliczenie `bs` w rdpsnd_server_select_format w channels/rdpsnd/server/rdpsnd_main.c wyniosło zero. Kolejna operacja out_frames modulo `bs` powoduje SIGFPE i kończy proces kanału rdpsnd po stronie serwera. Podatność naprawiono w wersji 3.28.0.

FreeRDP przed wersją 3.27.0 zawiera podatność w freerdp_image_copy_from_icon_data w libfreerdp/codec/color.c, gdzie obliczenie nWidth pomnożone przez nHeight pomnożone przez FreeRDPGetBytesPerPixel(format) jest wykonywane w arytmetyce 32-bitowej. Złośliwy serwer RDP może wysłać aktualizację RAIL TS_ICON_INFO o wymiarach takich jak 32768 na 32768 i 32 bity na piksel, co powoduje zawinięcie obliczenia rozmiaru, omijając sprawdzenie granic cbBitsColor przed odczytem przez freerdp_image_copy_no_overlap danych ikony kontrolowanych przez atakującego. Dotyczy to klientów RemoteApp korzystających z podatnej ścieżki biblioteki, podczas gdy xfreerdp ma zabezpieczenie po stronie wywołującego. Problem naprawiono w wersji 3.27.0.

FreeRDP przed wersją 3.27.0 zawiera podatność w funkcji glyph_cache_get w libfreerdp/cache/glyph.c, która sprawdza, czy indeks jest większy niż cache->number zamiast większy lub równy. Złośliwy serwer RDP może użyć powtórzenia GLYPH_FRAGMENT_USE w update_process_glyph_fragments, aby domyślna pamięć podręczna otrzymała indeks 254, gdy cache->number wynosi 254, co powoduje odczyt jednego wskaźnika poza tablicą entries i jego dereferencję jako glif. Może to spowodować awarię klienta i potencjalnie ujawnić sąsiednie dane sterty. Problem naprawiono w wersji 3.27.0.

W FreeRDP przed wersją 3.27.0 klienci używający TS Gateway akceptują wartość max_xmit_frag kontrolowaną przez serwer bez ograniczenia do rozmiaru bufora ReceiveFragment. Złośliwa brama może zadeklarować 65535 i wysłać fragment o tej długości, powodując zapis do mniejszego bufora. Może to doprowadzić do awarii klienta i potencjalnego wykonania kodu.

W FreeRDP przed wersją 3.27.0 backendy dekodera H.264 mogą zwracać płaszczyzny YUV o rozmiarach z bitstreamu bez porównania z wymiarami powierzchni RDPGFX. Złośliwy serwer RDP może dostarczyć bitstream AVC420 lub AVC444 o mniejszej klatce niż negocjowana powierzchnia, powodując odczyt poza przydzielone płaszczyzny. Może to ujawnić pamięć klienta lub doprowadzić do awarii.

FreeRDP przed wersją 3.30.0 zawiera podatność w serwerowej części RDSTLS, która akceptuje PDU RDSTLS_TYPE_CAPABILITIES dostarczone przez atakującego, podczas gdy rdstls_server_authenticate oczekuje na RDSTLS_TYPE_AUTHREQ. Pozwala to zdalnemu nieuwierzytelnionemu klientowi ominąć sprawdzanie RedirectionGuid, nazwy użytkownika, domeny lub hasła.

FreeRDP przed wersją 3.29.0 zawiera przepełnienie liczb całkowitych w kanale audin w backendach ALSA, sndio, WinMM i OpenSL ES. Złośliwy serwer RDP może podać wartość FramesPerPacket powodującą zawinięcie rozmiaru alokacji.

FreeRDP w wersjach do 3.28.0 zawiera podatność na odczyt poza zakresem w dekoderach bitmap RDP6 planar RLE: planar_decompress_plane_rle i planar_decompress_plane_rle_only w libfreerdp/codec/planar.c. Tylko 1-bajtowy bajt kontrolny jest sprawdzany pod kątem granic; kolejne 0–15 bajtów surowych deklarowanych przez atakującego są odczytywane bez walidacji, czy bufor źródłowy je zawiera. Złośliwy lub skompromitowany serwer RDP może wysłać obciętą bitmapę zakodowaną planar lub aktualizację powierzchni, powodując odczyt poza końcem bufora źródłowego przez klienta.

Klient FreeRDP dla systemu Windows przed wersją 3.29.0 zawiera podatność na przepełnienie bufora sterty w wirtualnym kanale schowka podczas przetwarzania PDU CLIPRDR_FILE_CONTENTS_RESPONSE bez walidacji rozmiaru dostarczonego przez serwer względem bufora docelowego. Złośliwy serwer RDP może wysłać odpowiedź z ładunkiem danych znacznie większym niż żądany, powodując dowolne uszkodzenie pamięci sterty, co może umożliwić zdalne wykonanie kodu, gdy użytkownik wykona operację wklejania.

FreeRDP przed wersją 3.29.0 zawiera podatność na dereferencję pustego wskaźnika podczas czyszczenia żądania sterowania urządzeniem smartcard, gdy dekodowanie stanu czytnika nie powiedzie się. Atakujący mogą wysyłać zniekształcone żądania IRP smartcard z niezerowym cReaders i obciętymi danymi stanu czytnika, aby spowodować awarię procesu poprzez dostęp do pustego wskaźnika w funkcjach free_reader_states.

FreeRDP przed wersją 3.29.0 zawiera osiągalne asercje (WINPR_ASSERT(OutputBufferLength == BytesReturned)) w serial_process_irp_device_control() w channels/serial/client/serial_main.c. Gdy przekierowanie urządzenia szeregowego jest włączone, a żądanie IRP_MJ_DEVICE_CONTROL kontrolowane przez serwer określa nieobsługiwany IOCTL z niezerowym OutputBufferLength, CommDeviceIoControl() może zakończyć się niepowodzeniem z BytesReturned = 0, powodując niezgodność wyzwalającą asercję i przerwanie procesu klienta (odmowa usługi).

FreeRDP przed wersją 3.29.0 (dotknięte wersje <= 3.28.0) zawiera podatność na dzielenie przez zero w kliencie przekierowania kamery rdpecam. Funkcja ecam_dev_process_start_streams_request() parsuje kontrolowany przez serwer CAM_MEDIA_TYPE_DESCRIPTION z PDU StartStreamsRequest, ale waliduje tylko Format i Flags, a nie FrameRateDenominator. Gdy złośliwy lub skompromitowany serwer RDP wyśle StartStreamsRequest z FrameRateDenominator ustawionym na zero, ecam_encoder_context_init() oblicza FrameRateNumerator / FrameRateDenominator, powodując dzielenie całkowite przez zero (SIGFPE) i zakończenie procesu klienta FreeRDP.

FreeRDP przed wersją 3.29.0 zawiera podatności na odczyt poza zakresem w asynchronicznym proxy komunikatów aktualizacji dla podstawowych poleceń rysowania PolygonSC i PolygonCB. Gdy AsyncUpdate jest włączone (np. xfreerdp /async-update), funkcje update_message_PolygonSC() i update_message_PolygonCB() alokują nową tablicę punktów, ale kopiują dane punktów z adresu struktury order zamiast z polygonSC->points / polygonCB->points, co skutkuje odczytem poza zakresem po stronie klienta. Złośliwy lub skompromitowany serwer RDP wysyłający spreparowane polecenia aktualizacji PolygonSC/PolygonCB może wywołać ujawnienie pamięci lub awarię klienta.

FreeRDP przed wersją 3.29.0 zawiera podatności na use-after-free w stercie po stronie klienta w asynchronicznym proxy komunikatów aktualizacji dla RAIL WINDOW_STATE_ORDER i NOTIFY_ICON_STATE_ORDER, gdy AsyncUpdate jest włączone. Gdy złośliwy lub skompromitowany serwer RDP wysyła spreparowane polecenia aktualizacji, proxy komunikatów płytko kopiuje struktury zawierające zagnieżdżone wskaźniki należące do parsera (np. titleInfo.string, windowRects, visibilityRects, bufory ikon). Parser zwalnia te zagnieżdżone bufory po zakończeniu wywołania zwrotnego, więc zakolejkowana asynchroniczna wiadomość później wysyła nieaktualne wskaźniki, potencjalnie powodując uszkodzenie pamięci lub awarię klienta.

FreeRDP przed wersją 3.29.0 zawiera podatność na use-after-free w stercie po stronie klienta w asynchronicznym proxy komunikatów aktualizacji dla WINDOW_ICON_ORDER, gdy AsyncUpdate jest włączone (np. xfreerdp /async-update). W funkcji update_message_WindowIcon() płytkie CopyMemory() nadpisuje świeżo zaalokowane lParam->iconInfo wskaźnikiem iconInfo należącym do parsera (windowIcon->iconInfo). Po zakończeniu wywołania zwrotnego parsera, update_recv_window_info_order() zwalnia window_icon.iconInfo, ale zakolejkowana asynchroniczna wiadomość nadal przechowuje i później wysyła ten nieaktualny wskaźnik. Złośliwy lub skompromitowany serwer RDP wysyłający spreparowane RAIL Window Alternate Secondary Order z WINDOW_ORDER_ICON może wywołać use-after-free, prowadząc do uszkodzenia pamięci i awarii klienta.

FreeRDP w wersjach 3.28.0 i wcześniejszych zawiera przepełnienie bufora sterty w obsłudze kanału RAIL po stronie serwera (rail_server_handle_messages() w channels/rail/server/rail_main.c). Podczas przetwarzania nagłówka PDU RAIL, kod odejmuje RAIL_PDU_HEADER_LENGTH od kontrolowanego przez rówieśnika pola orderLength bez uprzedniego sprawdzenia, czy orderLength jest co najmniej równe długości nagłówka. Dla wartości orderLength 0..3 powoduje to niedomiar liczby całkowitej bez znaku do bardzo dużego rozmiaru, co omija sprawdzenie pojemności Stream_EnsureRemainingCapacity() (z powodu zawijania arytmetyki wskaźników), a następnie jest przekazywane do WTSVirtualChannelRead(), co skutkuje zapisem poza zakresem sterty. Złośliwy lub skompromitowany klient RDP może to wykorzystać do uszkodzenia sterty i awarii serwera. Naprawione w FreeRDP 3.29.0.

FreeRDP przed wersją 3.29.0 nie egzekwuje limitu RESPONSE_SIZE_LIMIT podczas przetwarzania odpowiedzi HTTP z kodowaniem Transfer-Encoding: chunked w http_response_recv_body(). Atakujący kontrolujący złośliwy punkt końcowy RD Gateway mogą wysyłać zbyt duże fragmentaryczne treści odpowiedzi, aby wyczerpać zasoby pamięci klienta bez wyzwalania skonfigurowanego limitu rozmiaru.

FreeRDP przed wersją 3.29.0 zawiera podatność na odmowę usługi w handlerze kanału serwera RDPEI. Złośliwy klient RDP może wysłać wiadomość RDPEI zawierającą tylko nagłówek z dużą zadeklarowaną długością treści, co powoduje nadmierne przydzielenie pamięci na serwerze.

FreeRDP przed wersją 3.29.0 nieprawidłowo waliduje ścieżki RDPDR dostarczane przez serwer w przekierowaniu dysków. Pozwala to atakującemu na dostęp do ścieżek poza skonfigurowanym katalogiem głównym poprzez wysyłanie ścieżek niezakotwiczonych, omijających sprawdzanie granic.

FreeRDP przed wersją 3.29.0 nieprawidłowo waliduje rozszerzone użycie klucza (EKU) certyfikatu równorzędnego podczas uwierzytelniania TLS po stronie klienta. Gdy weryfikacja celu serwera (X509_PURPOSE_SSL_SERVER) zawiedzie, kod przechodzi do weryfikacji celu klienta i dowolnego celu, co pozwala na akceptację certyfikatu ważnego tylko dla uwierzytelniania klienta jako certyfikatu serwera RDP.

FreeRDP przed wersją 3.29.0 zawiera podatność nieprawidłowej walidacji nazwy hosta certyfikatu. Dopasowywacz nazw hosta TLS traktuje wzorzec wildcard, taki jak *.example.com, jako pasujący do dowolnej nazwy hosta kończącej się na .example.com, co powoduje błędną akceptację certyfikatu wildcard dla wieloetykietowych subdomen, takich jak a.b.example.com.

FreeRDP przed wersją 3.29.0 zawiera podatność nadmiernego ujawniania bufora w transporcie WebSocket bramy. Odpowiedź Pong klienta używa stałego strumienia odpowiedzi o długości 1024 bajtów, której długość nie jest ograniczona do rzeczywistego ładunku Ping, co powoduje, że złośliwy peer WebSocket otrzymuje nadmiernie długi Pong ujawniający bajty poza odebranym ładunkiem. Ping o zerowej długości powoduje asercję i zakończenie klienta (odmowa usługi).

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu poza dozwolonym obszarem sterty w funkcjach update_process_glyph_fragments() i glyph_cache_fragment_put(). Złośliwy serwer RDP może wysłać krótki fragment z zawyżonym rozmiarem, powodując odczyt poza buforem i awarię klienta.

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu poza dozwolonym obszarem sterty w dekoderze TSMF FFmpeg podczas parsowania typów multimediów AVC1 MPEG2VIDEOINFO z niewystarczającymi danymi dodatkowymi. Atakujący może wysłać nieprawidłowe dane formatu multimediów, powodując awarię.

FreeRDP przed wersją 3.29.0 zawiera podatność dereferencji wskaźnika NULL w dekoderach żądań pamięci podręcznej kart inteligentnych. Gdy emulacja kart inteligentnych jest włączona, atakujący może wysłać spreparowane żądanie z pustym wskaźnikiem, powodując wywołanie strlen() na NULL i zakończenie procesu klienta.

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu sterty poza dozwolonym zakresem w parserze rozszerzenia UVC H.264, który nie waliduje długości deskryptora przed dostępem do pola GUID. Lokalny atakujący ze złośliwą kamerą USB może wywołać odczyt sterty poza przydzielone granice podczas konfiguracji strumienia kamery, powodując odmowę usługi.

FreeRDP przed wersją 3.28.0 traktuje linie zaczynające się od ukośnika w plikach RDP jako surowe opcje wiersza poleceń, co udostępnia całą powierzchnię parsera CLI niezaufanym plikom. Atakujący mogą stworzyć złośliwe pliki RDP z opcjami /rdp2tcp, /cert:ignore lub /drive, aby wykonać dowolne polecenia, ominąć weryfikację certyfikatów lub ujawnić lokalne systemy plików bez interakcji użytkownika.

Podwójne zwolnienie pamięci (double-free) w FreeRDP przed wersją 3.28.0 (wersje 3.x do 3.27.1) w funkcji freerdp_client_rdp_file_apply_to_settings() podczas parsowania pola selectedmonitors pliku .rdp. Atakujący może przekonać ofiarę do otwarcia spreparowanego pliku .rdp z nadmiernymi tokenami monitorów, co powoduje podwójne zwolnienie bufora i potencjalnie umożliwia wykonanie kodu.

W serwerowych implementacjach FreeRDP z włączonym kanałem wyliczania urządzeń kamery MS-RDPECAM, złośliwy klient RDP może wywołać odczyt 1-2 bajtów poza dozwolonym obszarem sterty. Podatność występuje w funkcji przetwarzającej pola DeviceName i VirtualChannelName przed wersją 3.28.0.

W FreeRDP przed wersją 3.27.1, przy użyciu opcji /cache:codec:rfx, klienci przekazują nieprawidłowe wymiary do dekodowania RemoteFX, co pozwala złośliwemu serwerowi RDP na zapis poza przydzieloną pamięcią sterty z kontrolowanym offsetem i zawartością.

FreeRDP przed wersją 3.22.0 zawiera podatność use-after-free w funkcjach dvcman_channel_close i dvcman_call_on_receive z powodu nieprawidłowej synchronizacji dostępu do channel_callback. Złośliwy serwer RDP może wywołać wyścig poprzez jednoczesne wysyłanie komunikatów DYNVC_DATA i DYNVC_CLOSE, powodując użycie sterty po zwolnieniu w wątku klienta drdynvc, co może umożliwić zdalne wykonanie kodu lub odmowę usługi.

Podatność use-after-free/double-free w parserze NDR RDPEAR w FreeRDP przed wersją 3.26.0. Złośliwy serwer może wykorzystać ponowne użycie identyfikatora ref-id dla wielu pól wskaźników, powodując podwójne zwolnienie pamięci.

W FreeRDP przed wersją 3.26.0 złośliwy serwer RDP może wywołać zapis poza zakresem sterty (heap-buffer-overflow) w kliencie FreeRDP poprzez wysłanie spreparowanych PDU RDPGFX. Błąd znajduje się w funkcji gdi_CacheToSurface: waliduje ona docelowy prostokąt przycięty do UINT16_MAX, ale kopiowanie wykonuje z użyciem oryginalnych wartości cacheEntry->width/height, co może prowadzić do dużego zapisu poza zakresem sterty i potencjalnie do wykonania kodu.

W FreeRDP, przed wersją 3.26.0, złośliwy klient RDP może wywołać przepełnienie bufora sterty (heap-buffer-overflow) w kanale schowka (cliprdr) po stronie serwera. Dzieje się to poprzez wysłanie PDU CB_CLIP_CAPS z zbyt małym polem capabilitySetLength. Może to doprowadzić do awarii serwera (DoS) i potencjalnie do wykonania kodu.

W FreeRDP przed wersją 3.26.0 występuje podatność przepełnienia sterty (heap-buffer-overflow) w funkcji gdi_CacheToSurface, pozwalająca zdalnym atakującym na zapis poza zakresem pamięci sterty. Walidacja prostokątów ogranicza współrzędne do UINT16_MAX, ale operacje kopiowania używają nieskalowanych wymiarów wpisów pamięci podręcznej, co umożliwia złośliwym serwerom RDP wywołanie dużych zapisów poza zakresem i potencjalne zdalne wykonanie kodu lub awarię klienta.

W bibliotece FreeRDP przed wersją 3.24.2 w funkcji yuv_ensure_buffer() w pliku h264.c, wartości h264->width i h264->height są aktualizowane przed pętlą realokacji. Jeśli wywołanie winpr_aligned_recalloc() zakończy się niepowodzeniem, funkcja zwraca FALSE, ale szerokość i wysokość są już zawyżone, co prowadzi do niespójności stanu.

W FreeRDP przed wersją 3.24.2 w funkcji resize_vbar_entry() występuje podatność na przepełnienie bufora sterty. Aktualizacja rozmiaru przed realokacją może prowadzić do zapisu danych poza przydzielony obszar pamięci.

W FreeRDP przed wersją 3.24.2 wykryto podatność w funkcji progressive_decompress_tile_upgrade(), która nie przerywa wykonania po wykryciu niezgodności, a jedynie loguje ostrzeżenie. Użycie zawiniętej wartości (247) jako wykładnika przesunięcia prowadzi do niezdefiniowanego zachowania i pętli wykonującej około 80 miliardów iteracji, powodując odmowę usługi (DoS) na CPU.

W FreeRDP przed wersją 3.23.0 w funkcji `planar_decompress_plane_rle()` brakuje walidacji wymiarów docelowych bufora, co pozwala złośliwemu serwerowi RDP na zapis poza przydzieloną pamięcią sterty. Atakujący może nadpisać wskaźnik funkcji w strukturze `NSC_CONTEXT`, przejmując kontrolę nad przepływem sterowania klienta.

W FreeRDP przed wersją 3.23.0 wykryto podatność na przepełnienie sterty (heap buffer overflow) w kliencie używającym potoku powierzchni GDI. Złośliwy serwer RDP może wysłać polecenie powierzchni RDPGFX ClearCodec z nieprawidłowymi współrzędnymi prostokąta docelowego, co prowadzi do zapisu poza dozwolonym obszarem pamięci. Atakujący może w ten sposób nadpisać wskaźnik `codecs*` w strukturze `gdiGfxSurface`, co umożliwia przejęcie kontroli nad przepływem wykonania kodu.

W bibliotece FreeRDP przed wersją 3.22.0 występuje podatność use-after-free w funkcji ecam_channel_write. Wątek przechwytujący wysyła odpowiedzi próbek przy użyciu zwolnionego wywołania zwrotnego kanału po zamknięciu kanału urządzenia.

Wykryto podatność w FreeRDP używanym przez funkcję zdalnej instalacji Anacondy, gdzie spreparowany pakiet RDP może wywołać błąd segmentacji. Powoduje to awarię usługi i jej trwałe unieruchomienie, prowadząc do odmowy usługi. Problem występuje przed uruchomieniem systemu i prawdopodobnie wynika z dereferencji wskaźnika NULL.

FreeRDP, darmowa implementacja protokołu RDP, ma podatność na odczyt poza zakresem w funkcji `RleDecompress`. Problem ten występuje, gdy zmienna `pbSrcBuffer` jest przetwarzana bez sprawdzenia, czy zawiera wystarczającą ilość danych.

FreeRDP, darmowa implementacja protokołu RDP, ma podatność na odczyt poza zakresem w funkcji `general_YUV444ToRGB_8u_P3AC4R_BGRX`. Problem ten wynika z niewystarczających danych dla zmiennej `pSrc`, co prowadzi do awarii.

FreeRDP, darmowa implementacja protokołu RDP, ma podatność na zapis poza granicami w funkcji `writePixelBGRX`. Problem wynika z błędnych obliczeń zmiennych `nHeight` i `srcStep`. Został naprawiony w wersji 3.0.0-beta3.