Katalog podatności CVE

AVideo w wersji do 29.0 zawiera podatność typu blind SSRF w funkcji getHeaderContentTypeFromURL, która wykonuje wywołania get_headers() chronione jedynie walidacją formatu. Uwierzytelnieni użytkownicy z uprawnieniem canUpload mogą zapisać wybrane przez atakującego adresy URL jako linki do filmów, co powoduje wykonanie podatnej funkcji przy każdym renderowaniu strony odtwarzania wideo w celu sondowania wewnętrznych hostów.

AVideo w wersji do 29.0 zawiera nieuwierzytelnioną podatność typu SSRF w funkcji check_site_availability, która akceptuje nagłówki HTTP Host kontrolowane przez atakującego. Atakujący mogą wysyłać żądania do submitIndex.php lub ajax.php z dowolnymi nagłówkami Host, aby sondować wewnętrzne hosty i porty sieciowe, podążając za przekierowaniami bez uwierzytelnienia.

WWBN AVideo do wersji 29.0 nie egzekwuje ograniczeń grup użytkowników w endpointach plugin/Live/stats.json.php i plugin/Live/calendar.json.php. Nieuwierzytelnieni atakujący mogą uzyskać szczegóły transmisji na żywo, w tym klucze strumieniowe, tytuły, opisy, informacje o właścicielu oraz bezpośrednie adresy URL odtwarzania HLS, uzyskując dostęp do tych endpointów.

FreeRDP przed wersją 3.31.0 zawiera podatność na przepełnienie bufora na stercie w nego_send_negotiation_request podczas przetwarzania wiadomości Server Redirection PDU z kontrolowanym przez atakującego polem LoadBalanceInfo. Złośliwy serwer RDP może wywołać przepełnienie, wysyłając pole o dowolnej długości, które jest zapisywane do stałego bufora 512-bajtowego bez walidacji, co powoduje awarie klienta lub potencjalne wykonanie kodu w połączeniu z ujawnieniem pamięci.

FreeRDP w wersjach przed 3.31.0 zawiera podatność ujawnienia niezainicjalizowanej pamięci sterty w kanale przekierowania USB urbdrc. Złośliwy serwer RDP może wywołać nieudane transfery USB, aby odczytać niezainicjalizowaną pamięć sterty z klienta, co umożliwia obejście ASLR i zdalne wykonanie kodu w połączeniu z podatnościami typu memory corruption.

FreeRDP przed wersją 3.31.0 zawiera przepełnienie liczb całkowitych w backendach audin Apple podczas przetwarzania wartości FramesPerPacket z komunikatów MSG_SNDIN_OPEN. Atakujący mogą dostarczyć spreparowane wartości FramesPerPacket, które powodują zawinięcie obliczeń rozmiaru AudioQueueAllocateBuffer, skutkując zbyt małą alokacją bufora i potencjalnym dostępem poza granice.

FreeRDP przed wersją 3.31.0 zawiera podatność typu denial-of-service w ścieżce żądań kontrolnych URBDRC, która nie waliduje OutputBufferSize przed przekazaniem do backendu libusb. Złośliwy serwer RDP może wysłać żądanie kontrolne z OutputBufferSize ustawionym na 65536, wywołując osiągalną asercję, która kończy proces klienta.

FreeRDP w wersjach przed 3.31.0 zawiera przepełnienie liczb całkowitych w funkcji Stream_EnsureRemainingCapacity biblioteki WinPR, umożliwiające zdalnym atakującym wywołanie denial-of-service. Złośliwy peer RD Gateway może wysłać ramkę WebSocket Ping ze spreparowaną 64-bitową rozszerzoną długością ładunku, wywołując zawinięcie liczb całkowitych i podwójne zwolnienie pamięci, które powoduje awarię klienta FreeRDP podczas połączenia.

FreeRDP przed wersją 3.31.0 zawiera podatność typu buffer over-read w funkcji rts_read_result w parserze transportu bramy RPC. Atakujący mogą wysłać złośliwy PDU BIND_ACK z obciętym wpisem wyniku, aby wywołać odczyt poza granice bufora powodujący przerwanie procesu.

FreeRDP w wersjach przed 3.31.0 nie waliduje wartości tablicy MonitorIds podczas parsowania plików połączeń RDP, umożliwiając nieograniczone indeksowanie tablicy w xf_detect_monitors. Atakujący mogą spreparować złośliwy plik RDP z wartością selectedmonitors poza zakresem, aby wywołać odczyt i zapis poza granice sterty podczas otwierania w xfreerdp.

FreeRDP przed wersją 3.31.0 zawiera podatność use-after-free w obsłudze urządzenia smartcard RDPDR, gdy utworzenie wątku roboczego nie powiedzie się po rejestracji urządzenia. Atakujący może wywołać błąd tworzenia wątku podczas konfiguracji kanału, powodując zwolnienie wskaźnika urządzenia, gdy devman nadal go używa, co prowadzi do awarii lub wykonania kodu.

FreeRDP przed wersją 3.31.0 zawiera podatność typu out-of-bounds read w funkcji func_get_ep_desc kanału URBDRC, która indeksuje tablice interfejsów według pozycji zamiast pola protokołu InterfaceNumber. Złośliwy serwer RDP może wysłać spreparowany komunikat SELECT_CONFIGURATION z permutowanymi wartościami InterfaceNumber, aby odczytać pamięć poza przydzieloną stertą i spowodować awarię klienta.

FreeRDP przed wersją 3.31.0 nie weryfikuje wartości DesktopWidth i DesktopHeight dostarczanych przez klienta podczas negocjacji GCC, co pozwala zdalnym atakującym na doprowadzenie do awarii serwera. Atakujący mogą wysyłać spreparowane pakiety RDP z zerowymi lub zbyt dużymi wymiarami, aby wywołać dzielenie przez zero lub błędy asercji w obliczeniach możliwości aktualizacji wielofragmentowych, co kończy proces serwera.

FreeRDP przed wersją 3.31.0 zawiera podatność dereferencji wskaźnika null w funkcji gdi_surface_bits podczas przetwarzania poleceń Surface Bits z identyfikatorem kodeka NSCodec. Złośliwy serwer RDP może wywołać awarię klienta FreeRDP, wysyłając spreparowane polecenie Surface Bits deklarujące użycie NSCodec, nawet gdy kodek jest wyłączony.

FreeRDP w wersjach przed 3.31.0 zawiera przepełnienie bufora na stercie w funkcji nego_send_negotiation_request(), która nie waliduje długości pola LB_LOAD_BALANCE_INFO przed zapisem do stałego bufora 512 bajtów. Złośliwy serwer RDP lub atakujący typu man-in-the-middle może wysłać pakiet Server Redirection PDU z nadmiernie dużym polem LB_LOAD_BALANCE_INFO, aby przepełnić bufor danymi kontrolowanymi przez atakującego.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na odmowę usługi poprzez nieskończoną pętlę w funkcji pool_decode_rect podczas dekodowania metabloków AVC444 z większą liczbą prostokątów regionów niż wstępnie przydzielony rozmiar tablicy roboczej. Złośliwy serwer RDP może wysłać spreparowane aktualizacje graficzne AVC444, powodując nieskończoną pętlę w wątkowanej ścieżce dekodowania.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na zapis poza granicami bufora w funkcji urb_send_current_frame_number_result() kanału klienta urbdrc. Złośliwy serwer RDP może wysłać spreparowaną 28-bajtową wiadomość przekierowania USB, aby wywołać 4-bajtowy zapis poza przydzielonym buforem 16 bajtów.

FreeRDP przed 3.31.0 zawiera podatność na odczyt poza granicami bufora w funkcji rdpdr_dump_packet z powodu przepełnienia 32-bitowej liczby całkowitej bez znaku w walidacji granic bufora. Złośliwy serwer RDP może wysłać spreparowany pakiet RDPDR z computerNameLen ustawionym na 0xFFFFFFF0, aby ominąć sprawdzanie granic i wywołać odczyty pamięci poza buforem pakietu.

Serwer FreeRDP w wersjach przed 3.31.0 zawiera podatność obejścia negocjacji protokołu, która pozwala nieuwierzytelnionym atakującym na ustanowienie połączeń RDSTLS pomimo polityki serwera wyłączającej je. Atakujący mogą wysyłać niekompatybilne żądania protokołu, otrzymywać błędy negocjacji, a następnie zakończyć uzgadnianie TLS i wejść w RDSTLS, aby obejść ograniczenia transportu przed uwierzytelnianiem.

FreeRDP przed wersją 3.31.0 zawiera podatność na zapis poza zakresem w obsłudze statycznych kanałów wirtualnych po stronie serwera, gdy włączona jest opcja CHANNEL_OPTION_SHOW_PROTOCOL. Uwierzytelnieni klienci mogą kolejkować zbyt duże wiadomości kanałowe, co powoduje niedomiar bufora i uszkodzenie pamięci sterty, w tym żywych wskaźników, potencjalnie umożliwiając wykonanie kodu.