Katalog podatności CVE

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność typu heap out-of-bounds read. Złośliwy RD Gateway może ustawić MsgBytes znacznie większe niż ActualCount w komunikatach consent lub service, co powoduje odczyt poza zaalokowanym buforem podczas konwersji UTF-8 i awarię klienta.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera niewłaściwe ograniczenie liczby prób uwierzytelnienia w implementacji wirtualnej karty inteligentnej GIDS, gdzie licznik ponownych prób PIN jest przechowywany per uchwyt. Złośliwy serwer RDP może wyczerpać licznik za pomocą VERIFY APDU, a następnie zresetować próby nowym SCardConnect, umożliwiając nieograniczone brute-force PIN-u.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność ujawnienia niezainicjalizowanej pamięci w funkcji smartcard_Transmit_Call. Złośliwy serwer RDP może wysłać żądanie SCardTransmit z nieprawidłowym uchwytem karty i niezerową długością odbioru, powodując serializację do 66 560 bajtów niezainicjalizowanej pamięci sterty.

FreeRDP w wersjach od 3.20.1 do 3.32.0 zawiera podatność niekontrolowanej alokacji zasobów. Złośliwy serwer RDP może wysłać żądanie IRP_MJ_READ z Length 0xffffffff, powodując alokację około 4 GiB wyzerowanej pamięci w kompilacjach 64-bitowych lub niedostatecznie zarezerwowany bufor w kompilacjach 32-bitowych.

FreeRDP w wersjach od 3.11.0 do 3.32.0 nie sprawdza, czy szerokości regionów AVC444 i AVC444v2 są parzyste przed konwersją YUV444. Nieparzysta szerokość prowadzi do asercji i przerwania działania klienta po negocjacji RDPGFX AVC444.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność use-after-free w emulacji karty inteligentnej, gdy SCARD_IOCTL_DISCONNECT i SCARD_IOCTL_TRANSMIT działają równocześnie na tym samym uchwycie karty. Złośliwy serwer RDP może nakładać te IRP-y przez osobne wątki kontekstu, powodując zwolnienie i ponowne użycie SCardHandle oraz uszkodzenie sterty i zakończenie procesu klienta.

FreeRDP w wersjach od 3.0.0 do 3.32.0 nie usuwa uchwytów kart, gdy Emulate_SCardReleaseContext zwalnia kontekst emulacji karty inteligentnej. Późniejsze Emulate_SCardTransmit odwołuje się do usuniętego kontekstu nadrzędnego i osiąga kończącą asercję WINPR_ASSERT, co pozwala złośliwemu serwerowi RDP na awarię klienta.

FreeRDP w wersjach od 3.29.0 do 3.32.0 zawiera podwójne zwolnienie w proxy komunikatów async-update klienta, które płytko kopiuje tablicę punktów PolygonSC lub PolygonCB, gdy numPoints wynosi zero. Zarówno konsument kolejki, jak i parser zwalniają tę samą pamięć, co pozwala złośliwemu serwerowi RDP na awarię klienta z włączonym +async-update.

FreeRDP w wersjach od 2.3.0 do 3.32.0 dereferencjonuje NULL stream w rdg_process_close_packet w libfreerdp/core/gateway/rdg.c, ponieważ rdg_process_control_packet akceptuje pakiet PKT_TYPE_CLOSE_CHANNEL zawierający tylko nagłówek i przekazuje pusty ładunek bez sprawdzenia. Złośliwy lub przejęty RD Gateway może wysłać ośmiobajtowy nagłówek CLOSE_CHANNEL, aby spowodować awarię klienta.

FreeRDP w wersjach od 2.3.0 do 3.32.0 zawiera podatność nieskończonej pętli w http_chuncked_read. Złośliwy RD Gateway może wysłać niekompletną odpowiedź chunked, powodując wieczne zapętlenie odczytów zerobajtowych i zawieszenie wątku dekodera klienta.

FreeRDP 3.0.0-beta1 do 3.32.0 na systemach Unix z obsługą PKCS#11 zawiera przepełnienie bufora na stosie w funkcji wprintKeyName() w dostawcy NCrypt PKCS#11 w WinPR. Funkcja koduje heksadecymalnie CKA_ID klucza (do 64 bajtów) do stałego 128-bajtowego bufora na stosie. Atakujący dostarczający złośliwy token lub moduł PKCS#11 z kluczem i certyfikatem o CKA_ID o długości 55-64 bajtów może przepełnić stos klienta podczas enumeracji kluczy, powodując awarię.

FreeRDP 3.27.1 do 3.32.0 zawiera dereferencję wskaźnika NULL w funkcji update_read_cache_bitmap_v3_order() w libfreerdp/core/orders.c, która uzyskuje dostęp do pamięci podręcznej bitmap klienta, gdy ustawiona jest flaga CBR3_DO_NOT_CACHE, mimo że pamięć podręczna nie jest jeszcze zainicjowana przed Demand Active. Złośliwy lub skompromitowany serwer RDP może wysłać zamówienie Cache Bitmap V3 podczas nawiązywania połączenia, powodując awarię łączącego się klienta, który włączył niestandardową funkcję Bitmap Cache V3 (/cache:codec:<rfx|nsc|jpeg>).

Dodatnie współrzędne mapowanego wideo przepełniają się i powodują awarię klientów FreeRDP. Złośliwy lub skompromitowany serwer RDP może zakończyć działanie klienta FreeRDP po połączeniu użytkownika z włączonym przekierowaniem wideo.

FreeRDP 3.18.0 do 3.32.0 ma zapis poza zakresem na stercie w funkcji freerdp_interruptible_get_line, która zmniejsza bufor do 32 bajtów, zachowując długość wstępnie wypełnionej sugerowanej nazwy użytkownika jako offset zapisu. Złośliwa lub skompromitowana usługa routingu ARM może zwrócić długą nazwę redirectedUsername, która dociera do monitu o poświadczenia CLI, powodując awarię klienta, gdy użytkownik wpisuje dane.

FreeRDP 3.0.0-beta4 do 3.32.0 zawiera dereferencję wskaźnika NULL w funkcji arm_handle_request_ok, gdy punkt końcowy ARM zwraca pustą treść odpowiedzi HTTP 200. Atakujący kontrolujący skonfigurowaną bramę ARM mogą zwrócić treść o zerowej długości, aby przekazać NULL do funkcji strnlen i spowodować awarię łączącego się klienta.

FreeRDP 3.0.0-beta1 do 3.32.0, gdy zbudowany jest z pełnymi asercjami WinPR i używa emulacji smartcard, ma osiągalną asercję: emulowany SCardStatusA przekazuje NULL jako miejsce docelowe nazwy czytnika do scard_copy_strings. Złośliwy serwer RDP może wysłać żądanie SCardStatusA z fmszReaderNamesIsNULL=1, aby przerwać działanie łączącego się klienta.

FreeRDP od 2.0.0-beta1 do 3.28.0 zawiera podatność na odczyt poza zakresem w funkcji smartcard_LocateCardsByATRA_Call, ponieważ liczba bajtów cbAtr wzorca ATR nie jest ograniczona. Złośliwe serwery RDP mogą wysyłać spreparowane tablice masek ATR, aby użyć czasu zapytania jako wyroczni, wyciekając pamięć sterty bit po bicie, co pozwala pokonać ASLR i wspomóc ataki RCE.

FreeRDP w wersjach od 3.0.0-beta1 do 3.32.0 zawiera podatność use-after-free w obsłudze kart inteligentnych, umożliwiającą atakującym dostęp do zwolnionego obiektu uchwytu karty inteligentnej po nieprawidłowej operacji połączenia. Atakujący może wywołać nieprawidłową operację połączenia karty inteligentnej, powodując ponowne użycie zwolnionego uchwytu, co prowadzi do uszkodzenia pamięci lub awarii.

W Colorful iGameCenter 2.0.0.82 wykryto błąd w funkcji MmMapIoSpace w bibliotece AMDRyzenMasterDriver.sys komponentu Dispatch Handler. Manipulacja argumentem SystemBuffer powoduje niebezpieczne działania związane z przywilejami. Atak wymaga dostępu lokalnego. Producent został poinformowany, ale nie odpowiedział.

W YouTransfer do wersji 0.0.7/1.0.6/1.1.0 wykryto podatność w nieznanej funkcji pliku /settings/template komponentu Template Rendering. Manipulacja prowadzi do przejścia ścieżek (path traversal). Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.