Podatności FreeRDP

FreeRDP w wersjach od 3.30.0 przed 3.32.0 zawiera podatność polegającą na wyczerpaniu zasobów w kliencie rdpecam. Złośliwy serwer RDP może zażądać nieogłoszonych typów mediów kamery, wysyłając StartStreamsRequest z nadmiernymi wymiarami, co wymusza duże alokacje i rekonfigurację lokalnej kamery przez HAL.

FreeRDP przed wersją 3.32.0 zawiera podatność polegającą na dereferencji wskaźnika NULL w transporcie websocket. Złośliwa brama może wysłać pingi o zerowej długości, co powoduje przekazanie nullptr do websocket_reply_close i awarię klienta.

FreeRDP w wersjach od 3.3.0 przed 3.32.0, zbudowany z opcją WINPR_UTILS_IMAGE_JPEG=ON, ma zapis poza zakresem bufora sterty w funkcji winpr_convert_from_jpeg, ponieważ bufory dla obrazów JPEG w skali szarości są rozmiarowane na podstawie jednego składnika wejściowego zamiast trzech składników wyjściowych BGR. Złośliwy serwer RDP może zaoferować obraz JPEG w skali szarości przez przekierowanie schowka, uszkadzając pamięć klienta i powodując jego awarię przy wklejaniu elementu jako danych bitmapowych CF_DIB.

Serwer shadow FreeRDP od wersji 3.0.0 przed 3.32.0 wysyła pakiety PDU wejścia w stanie Confirm Active przed uwierzytelnieniem, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dane wejściowe z klawiatury. Atakujący może wynegocjować RDP tylko z TLS i wysłać pakiet PDU wejścia bez Confirm Active, aby wstrzyknąć syntetyczne naciśnięcia klawiszy do sesji X11 użytkownika hosta przez XTEST.

FreeRDP od wersji 2.0.0 przed 3.32.0, zbudowany z opcjami WITH_LAME=ON i WITH_DSP_FFMPEG=OFF, ma przepełnienie bufora sterty w funkcji freerdp_dsp_decode_mp3, ponieważ wskaźnik PCM prawego kanału jest przesunięty o liczbę bajtów traktowaną jako elementy typu short. Złośliwy serwer RDP może wysłać dźwięk MP3 przez rdpsnd, przez co zdekodowane próbki wykraczają poza alokację sterty, powodując awarię klienta.

FreeRDP od wersji 3.0.0 przed 3.32.0 zawiera podatność nieskończonej pętli w funkcji http_response_recv(), która pozwala złośliwym bramom wyczerpać CPU klienta poprzez spreparowane nagłówki Content-Type. Atakujący kontrolujący bramę może zwrócić niezerowy Content-Length z nierozpoznanym Content-Type zawierającym średnik, przypinając wątek klienta na pełnym obciążeniu CPU bez końca.

FreeRDP w wersjach 3.0.0 przed 3.32.0 pozwala na wstrzyknięcie nagłówka HTTP w swoim proxy, ponieważ pojedynczy znak LF w części docelowej tokenu routingu (Cookie: msts=) nie jest odrzucany i jest zapisywany przez http_proxy_connect do linii żądania CONNECT oraz nagłówka Host. Zdalny nieuwierzytelniony klient RDP łączący się z proxy używającym FixedTarget=false i nadrzędnego proxy HTTP może zmienić ramowanie żądań/nagłówków HTTP w tym nadrzędnym proxy.

FreeRDP od wersji 2.0.0 przed 3.32.0 zawiera podatność dereferencji wskaźnika null, która pozwala złośliwym serwerom RDP na zawieszenie klientów poprzez wysyłanie seryjnych IRP poza cyklem życia. Atakujący mogą wysłać IRP_MJ_READ lub IRP_MJ_WRITE przed utworzeniem lub po zamknięciu, powodując dereferencję pustego uchwytu przez CommReadFile lub CommWriteFile i zakończenie klientów używających przekierowania portu szeregowego w systemie Linux.

FreeRDP od wersji 3.0.0-beta1 przed 3.32.0 nie egzekwuje skumulowanych ani absolutnych limitów rozmiaru podczas reassemblacji fragmentów kanału RDPDR w proxy. Atakujący mogą wysłać fragment FIRST, a następnie fragmenty kontynuacyjne bez LAST, zwiększając strumienie sterty na sesję proporcjonalnie do ruchu i wyczerpując pamięć proxy.

FreeRDP od wersji 2.0.0 przed 3.32.0 zawiera podatność wyczerpania pamięci w funkcji wts_read_drdynvc_data_first, która pozwala uwierzytelnionym klientom wymusić na serwerach duże alokacje pamięci. Atakujący mogą wysłać siedmiobajtową wiadomość DATA_FIRST na otwartym DVC deklarującą dużą 32-bitową długość, powodując wzrost wyzerowanej pamięci rezydentnej i wyczerpanie zasobów serwera.

FreeRDP w wersjach 3.13.0 przed 3.32.0 zawiera wadę retencji zasobów w drive_process_irp_create, która rejestruje otwarty plik lokalny w słowniku dysku przed zastosowaniem rozmiaru alokacji i nie usuwa go, gdy operacja się nie powiedzie. Złośliwy serwer RDP połączony z klientem z włączonym przekierowaniem dysku może wysłać IRP_MJ_CREATE z AllocationSize ustawionym na UINT64_MAX, wymuszając niepowodzenie seek i wyciek obiektu pliku oraz uchwytu systemu operacyjnego aż do zakończenia dysku.

FreeRDP przed wersją 3.32.0 nie zamyka wcześniejszych uchwytów portu szeregowego w serial_process_irp_create, co pozwala złośliwemu serwerowi RDP wyczerpać deskryptory plików. Atakujący mogą wysyłać powtarzające się żądania serial IRP_MJ_CREATE, aby gromadzić deskryptory i zakończyć klienta na asercji FD_SETSIZE w CommReadFile.

FreeRDP w wersjach od 3.0.0 przed 3.32.0 zawiera dereferencję wskaźnika null w kanale rdpsnd, gdy fragment ustawia CHANNEL_FLAG_LAST bez CHANNEL_FLAG_FIRST. Złośliwy serwer RDP może wysłać zniekształcony pakiet rdpsnd PDU na nowym kanale, powodując awarię klienta i odmowę usługi.

FreeRDP w wersji od 3.0.0 do 3.32.0 zawiera podatność niewystarczającej ochrony poświadczeń, w której opcja /restricted-admin nie tłumi delegowania poświadczeń CredSSP, wysyłając hasło w postaci czystego tekstu do serwera RDP. Przejęty lub będący w środku ataku host docelowy może zdekodować TSPasswordCreds i Client Info PDU, aby uzyskać możliwe do ponownego użycia wartości administracyjnej domeny, nazwy użytkownika i hasła.

Klient FreeRDP w wersji od 3.0.0 do 3.32.0 nie sprawdza wybranego przez serwer protokołu PROTOCOL_RDSTLS lub PROTOCOL_HYBRID_EX względem zestawu włączonych protokołów w nego_process_negotiation_response(), co pozwala na obniżenie poziomu protokołu bezpieczeństwa. Złośliwy serwer lub atakujący w środku może wybrać RDSTLS, aby obejść przypięcie /sec:nla, zakończyć uwierzytelnianie z zerowym plikiem cookie i otrzymać hasło użytkownika w postaci czystego tekstu w Client Info PDU.

FreeRDP w wersji od 3.17.1 do 3.32.0 zawiera podatność przepełnienia bufora sterty (heap buffer over-read) w DynvcTrackerHandleCreateBack obsługi kanału freerdp-proxy DRDYNVC, która pozwala złośliwym serwerom RDP na odczyt pamięci sterty poza granicami. Atakujący mogą wysłać CREATE_REQUEST_PDU, którego nazwa kanału nie zawiera bajtu NUL, powodując nieograniczony odczyt snprintf, który wycieka pamięć do logów proxy lub powoduje awarię procesu.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność typu heap out-of-bounds read. Złośliwy RD Gateway może ustawić MsgBytes znacznie większe niż ActualCount w komunikatach consent lub service, co powoduje odczyt poza zaalokowanym buforem podczas konwersji UTF-8 i awarię klienta.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera niewłaściwe ograniczenie liczby prób uwierzytelnienia w implementacji wirtualnej karty inteligentnej GIDS, gdzie licznik ponownych prób PIN jest przechowywany per uchwyt. Złośliwy serwer RDP może wyczerpać licznik za pomocą VERIFY APDU, a następnie zresetować próby nowym SCardConnect, umożliwiając nieograniczone brute-force PIN-u.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność ujawnienia niezainicjalizowanej pamięci w funkcji smartcard_Transmit_Call. Złośliwy serwer RDP może wysłać żądanie SCardTransmit z nieprawidłowym uchwytem karty i niezerową długością odbioru, powodując serializację do 66 560 bajtów niezainicjalizowanej pamięci sterty.

FreeRDP w wersjach od 3.20.1 do 3.32.0 zawiera podatność niekontrolowanej alokacji zasobów. Złośliwy serwer RDP może wysłać żądanie IRP_MJ_READ z Length 0xffffffff, powodując alokację około 4 GiB wyzerowanej pamięci w kompilacjach 64-bitowych lub niedostatecznie zarezerwowany bufor w kompilacjach 32-bitowych.

FreeRDP w wersjach od 3.11.0 do 3.32.0 nie sprawdza, czy szerokości regionów AVC444 i AVC444v2 są parzyste przed konwersją YUV444. Nieparzysta szerokość prowadzi do asercji i przerwania działania klienta po negocjacji RDPGFX AVC444.

FreeRDP w wersjach od 3.0.0 do 3.32.0 zawiera podatność use-after-free w emulacji karty inteligentnej, gdy SCARD_IOCTL_DISCONNECT i SCARD_IOCTL_TRANSMIT działają równocześnie na tym samym uchwycie karty. Złośliwy serwer RDP może nakładać te IRP-y przez osobne wątki kontekstu, powodując zwolnienie i ponowne użycie SCardHandle oraz uszkodzenie sterty i zakończenie procesu klienta.

FreeRDP w wersjach od 3.0.0 do 3.32.0 nie usuwa uchwytów kart, gdy Emulate_SCardReleaseContext zwalnia kontekst emulacji karty inteligentnej. Późniejsze Emulate_SCardTransmit odwołuje się do usuniętego kontekstu nadrzędnego i osiąga kończącą asercję WINPR_ASSERT, co pozwala złośliwemu serwerowi RDP na awarię klienta.

FreeRDP w wersjach od 3.29.0 do 3.32.0 zawiera podwójne zwolnienie w proxy komunikatów async-update klienta, które płytko kopiuje tablicę punktów PolygonSC lub PolygonCB, gdy numPoints wynosi zero. Zarówno konsument kolejki, jak i parser zwalniają tę samą pamięć, co pozwala złośliwemu serwerowi RDP na awarię klienta z włączonym +async-update.

FreeRDP w wersjach od 2.3.0 do 3.32.0 dereferencjonuje NULL stream w rdg_process_close_packet w libfreerdp/core/gateway/rdg.c, ponieważ rdg_process_control_packet akceptuje pakiet PKT_TYPE_CLOSE_CHANNEL zawierający tylko nagłówek i przekazuje pusty ładunek bez sprawdzenia. Złośliwy lub przejęty RD Gateway może wysłać ośmiobajtowy nagłówek CLOSE_CHANNEL, aby spowodować awarię klienta.

FreeRDP w wersjach od 2.3.0 do 3.32.0 zawiera podatność nieskończonej pętli w http_chuncked_read. Złośliwy RD Gateway może wysłać niekompletną odpowiedź chunked, powodując wieczne zapętlenie odczytów zerobajtowych i zawieszenie wątku dekodera klienta.

FreeRDP 3.0.0-beta1 do 3.32.0 na systemach Unix z obsługą PKCS#11 zawiera przepełnienie bufora na stosie w funkcji wprintKeyName() w dostawcy NCrypt PKCS#11 w WinPR. Funkcja koduje heksadecymalnie CKA_ID klucza (do 64 bajtów) do stałego 128-bajtowego bufora na stosie. Atakujący dostarczający złośliwy token lub moduł PKCS#11 z kluczem i certyfikatem o CKA_ID o długości 55-64 bajtów może przepełnić stos klienta podczas enumeracji kluczy, powodując awarię.

FreeRDP 3.27.1 do 3.32.0 zawiera dereferencję wskaźnika NULL w funkcji update_read_cache_bitmap_v3_order() w libfreerdp/core/orders.c, która uzyskuje dostęp do pamięci podręcznej bitmap klienta, gdy ustawiona jest flaga CBR3_DO_NOT_CACHE, mimo że pamięć podręczna nie jest jeszcze zainicjowana przed Demand Active. Złośliwy lub skompromitowany serwer RDP może wysłać zamówienie Cache Bitmap V3 podczas nawiązywania połączenia, powodując awarię łączącego się klienta, który włączył niestandardową funkcję Bitmap Cache V3 (/cache:codec:<rfx|nsc|jpeg>).

Dodatnie współrzędne mapowanego wideo przepełniają się i powodują awarię klientów FreeRDP. Złośliwy lub skompromitowany serwer RDP może zakończyć działanie klienta FreeRDP po połączeniu użytkownika z włączonym przekierowaniem wideo.

FreeRDP 3.18.0 do 3.32.0 ma zapis poza zakresem na stercie w funkcji freerdp_interruptible_get_line, która zmniejsza bufor do 32 bajtów, zachowując długość wstępnie wypełnionej sugerowanej nazwy użytkownika jako offset zapisu. Złośliwa lub skompromitowana usługa routingu ARM może zwrócić długą nazwę redirectedUsername, która dociera do monitu o poświadczenia CLI, powodując awarię klienta, gdy użytkownik wpisuje dane.

FreeRDP 3.0.0-beta4 do 3.32.0 zawiera dereferencję wskaźnika NULL w funkcji arm_handle_request_ok, gdy punkt końcowy ARM zwraca pustą treść odpowiedzi HTTP 200. Atakujący kontrolujący skonfigurowaną bramę ARM mogą zwrócić treść o zerowej długości, aby przekazać NULL do funkcji strnlen i spowodować awarię łączącego się klienta.

FreeRDP 3.0.0-beta1 do 3.32.0, gdy zbudowany jest z pełnymi asercjami WinPR i używa emulacji smartcard, ma osiągalną asercję: emulowany SCardStatusA przekazuje NULL jako miejsce docelowe nazwy czytnika do scard_copy_strings. Złośliwy serwer RDP może wysłać żądanie SCardStatusA z fmszReaderNamesIsNULL=1, aby przerwać działanie łączącego się klienta.

FreeRDP od 2.0.0-beta1 do 3.28.0 zawiera podatność na odczyt poza zakresem w funkcji smartcard_LocateCardsByATRA_Call, ponieważ liczba bajtów cbAtr wzorca ATR nie jest ograniczona. Złośliwe serwery RDP mogą wysyłać spreparowane tablice masek ATR, aby użyć czasu zapytania jako wyroczni, wyciekając pamięć sterty bit po bicie, co pozwala pokonać ASLR i wspomóc ataki RCE.

FreeRDP w wersjach od 3.0.0-beta1 do 3.32.0 zawiera podatność use-after-free w obsłudze kart inteligentnych, umożliwiającą atakującym dostęp do zwolnionego obiektu uchwytu karty inteligentnej po nieprawidłowej operacji połączenia. Atakujący może wywołać nieprawidłową operację połączenia karty inteligentnej, powodując ponowne użycie zwolnionego uchwytu, co prowadzi do uszkodzenia pamięci lub awarii.

FreeRDP przed wersją 3.32.0 zawiera podwójne zwolnienie pamięci w funkcji nsc_context_initialize_encode(), które pozostawia wiszące wskaźniki po częściowej awarii wzrostu bufora. Atakujący używający spreparowanego klienta RDP mogą wynegocjować NSCodec z dużą geometrią pulpitu, aby wywołać awarię alokacji, powodując awarię serwera podczas zamykania kontekstu.

FreeRDP w wersjach od 3.10.0 do 3.32.2 zawiera przepełnienie bufora na stercie w funkcji zwrotnej WinPR png_write_data, która zapisuje poza bufor po awarii realokacji. Złośliwy peer schowka RDP może dostarczyć duży obraz CF_DIB, który wywołuje kopiowanie poza zakres podczas konwersji PNG, powodując awarię klienta.

FreeRDP w wersjach od 3.0.0 przed 3.32.0 zawiera podatność na obcięcie liczby całkowitej w funkcji license_check_stream_length, która umożliwia złośliwemu serwerowi RDP wywołanie przepełnienia bufora na stercie na klientach 32-bitowych. Atakujący mogą wysłać spreparowany SERVER_LICENSE_REQUEST z dużą wartością scopeCount, która omija kontrolę długości, powodując zapisy poza zakresem prowadzące do odmowy usługi lub zdalnego wykonania kodu.

FreeRDP w wersjach od 2.1.0 przed 3.32.0 zawiera podatność use-after-free w statycznej ścieżce rozłączania kanału rdpsnd, która zwalnia formaty audio i urządzenie bez dołączania do wątku play_thread. Złośliwy serwer RDP może rozłączyć się podczas asynchronicznego odtwarzania Wave2 przetwarzającego zakolejkowane PDU, powodując odczyt zwolnionej pamięci sterty przez klienta i awarię.

FreeRDP w wersjach od 3.9.0 przed 3.32.0 zawiera podatność na odczyt poza zakresem w skalarach NDR RDPEAR, które sprawdzają długość wartości przed spożyciem dopełnienia wyrównania. Złośliwe lub skompromitowane serwery RDP mogą wysyłać spreparowane niewyrównane ładunki RDPEAR, takie jak komunikaty CreateApReqAuthenticatorReq, do klientów używających Remote Credential Guard, powodując nadmierne odczyty i potencjalnie awarię procesu klienta.

FreeRDP w wersjach od 3.9.0 przed 3.32.0 zawiera podatność na dereferencję wskaźnika NULL w czytniku NDR RDPEAR, która umożliwia złośliwym serwerom spowodowanie awarii klientów poprzez skrócone dane KERB_RPC_INTERNAL_NAME. Atakujący mogą wysłać CreateApReqAuthenticatorReq z NameCount równym dwa lub więcej, kończący się przed wskaźnikiem Names, powodując, że sprzątanie dereferencjonuje pustą bazę i kończy klienta.

FreeRDP przed wersją 3.32.0 przechowuje dostarczony przez serwer podpisany początek geometrii MS-RDPEGT bez sprawdzenia w niepodpisanej współrzędnej powierzchni wideo, więc ograniczenie blit w gdiVideoShowSurface() zawija się w arytmetyce 32-bitowej i jest pomijane. Złośliwy serwer RDP może wysłać ujemną wartość topLevelLeft do klientów łączących się z /video, powodując zapis poza zakresem zdekodowanych danych obrazu H.264 lub przerwanie działania klienta.

FreeRDP w wersjach od 3.0.0 przed 3.32.0 zawiera podatność na przepełnienie bufora na stercie w funkcji collect_keys(), która umożliwia lokalnym atakującym zapis poza stałą tablicą 64 wpisów podczas wyliczania kluczy PKCS#11. Atakujący kontrolujący tokeny smartcard mogą przedstawić więcej niż 64 obiekty kluczy publicznych w wielu slotach, aby uszkodzić pamięć sterty danymi CKA_ID i CKA_LABEL wybranymi przez atakującego podczas logowania przez smartcard.

FreeRDP 3.0.0 do 3.32.0 zawiera podatność polegającą na odczycie poza zakresem sterty w funkcji freerdp_assistance_parse_all_elements_of(), ponieważ przesuwa kursor parsowania bez zmniejszania pozostałej długości, co pozwala oknie skanowania przekroczyć odszyfrowany bufor ConnectionString2. Atakujący może dostarczyć spreparowany plik zaproszenia .msrcIncident i hasło, które powodują awarię xfreerdp po otwarciu, przed nawiązaniem połączenia RDP.

FreeRDP 3.0.0 do 3.32.0 zawiera podatność polegającą na odczycie poza zakresem sterty w funkcji WinPR clipboard convert_filedescriptors_to_file_list(), która skanuje kontrolowany przez serwer FILEDESCRIPTORW cFileName za pomocą nieograniczonych wywołań _wcschr() i count_special_chars() bez gwarancji zakończenia NUL. Złośliwy serwer RDP może wysłać blob FILEDESCRIPTORW o nieparzystej długości w CB_FORMAT_DATA_RESPONSE, powodując awarię klientów X11, Wayland i SDL, gdy użytkownik wkleja skopiowane z serwera pliki.

FreeRDP w wersjach przed 3.32.0 zawiera podatność path traversal w funkcji convert_filedescriptors_to_file_list() w pliku winpr/libwinpr/clipboard/synthetic_file.c. Złośliwy serwer RDP może dostarczyć sekwencje '../', przez co następne wklejenie ze schowka skopiuje dowolny lokalny plik użytkownika zamiast oczekiwanego pliku zdalnego.

FreeRDP przed 3.32.0 zawiera podatność dzielenia przez zero w serwerze cienia freerdp-shadow-cli: identyfikator ramki w pakiecie Frame Acknowledge od klienta jest przechowywany bez sprawdzenia zakresu, więc liczba ramek w locie w shadow_encoder_inflight_frames() może się przepełnić. Uwierzytelniony klient może potwierdzić identyfikator ramki o jeden większy niż ostatnia wysłana ramka, powodując dzielenie przez zero (SIGFPE) w shadow_encoder_create_frame_id() i zakończenie procesu, rozłączając wszystkich widzów.

FreeRDP 3.0.0 do 3.32.0 zawiera podatność nieprawidłowej walidacji certyfikatów w freerdp_http_request() w libfreerdp/utils/http.c, która kończy uzgadnianie TLS bez weryfikacji łańcucha certyfikatów serwera. Atakujący w środku mogą podszywać się pod login.microsoftonline.com w przepływie uwierzytelniania Azure AD, aby przechwycić kody autoryzacji OAuth i podstawić dokument OpenID discovery.

FreeRDP od 2.0.0 do 3.32.0 zawiera podatność niebezpiecznych uprawnień w winpr-makecert, która tworzy niezaszyfrowane klucze prywatne bez trybów plików tylko dla właściciela. Lokalni użytkownicy na hostach Unix z wieloma użytkownikami mogą odczytać pliki kluczy dostępne dla wszystkich lub otworzyć pliki PFX chronione domyślnym hasłem, aby ukraść klucze prywatne.

FreeRDP od 3.0.0 do 3.32.0 zawiera podatność nieprawidłowego przypisania uprawnień, która pozwala lokalnym użytkownikom odczytać klucze prywatne zapisane przez crypto_write_pem bez uprawnień tylko dla właściciela. Atakujący na hostach Unix z wieloma użytkownikami mogą przeszukiwać współdzielony katalog tymczasowy podczas logowania soft-smartcard, aby odczytać kopię klucza prywatnego PKINIT dostępną dla wszystkich.

FreeRDP przed wersją 3.0.0 oraz w wersjach 3.6.0 do 3.32.0 renderuje niezainicjalizowaną pamięć sterty z nieodkodowanych kafelków progresywnych, ponieważ bufor tile->current jest alokowany bez zerowania. Złośliwy serwer RDP może wysłać spreparowaną sekwencję WBT_TILE_FIRST i WBT_TILE_UPGRADE, aby wyświetlić bajty sterty na ekranie lub przerwać działanie klienta.