CVE-2026-55193
WysokieCVSS 8.7Streszczenie
W FreeRDP przed wersją 3.27.0 klienci używający TS Gateway akceptują wartość max_xmit_frag kontrolowaną przez serwer bez ograniczenia do rozmiaru bufora ReceiveFragment. Złośliwa brama może zadeklarować 65535 i wysłać fragment o tej długości, powodując zapis do mniejszego bufora. Może to doprowadzić do awarii klienta i potencjalnego wykonania kodu.
Ocena ryzyka
Złośliwa brama TS Gateway może doprowadzić do awarii klienta lub uzyskać możliwość wykonania kodu, co stanowi poważne zagrożenie bezpieczeństwa.
Rekomendacja
Zaktualizuj FreeRDP do wersji 3.27.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.27.0, FreeRDP clients using TS Gateway accept a server-controlled max_xmit_frag value in libfreerdp/core/gateway/rpc_bind.c without bounding it to the 4088-byte ReceiveFragment allocation. A malicious gateway can advertise 65535 and then send a response fragment of the same length, causing rpc_channel_read in libfreerdp/core/gateway/rpc.c to write up to 65535 bytes into the smaller ReceiveFragment buffer. This can crash the client and may permit code execution through attacker-controlled heap corruption. This issue is fixed in version 3.27.0.