Podatności FreeRDP

FreeRDP w wersjach przed 3.32.0 zawiera podatność dereferencji wskaźnika NULL w kanale przekierowania wideo klienta. Złośliwy serwer może wysłać komunikat Geometry CLEAR, który ustawia presentation->geometry na NULL, a następnie komunikat VideoData, który go dereferencjonuje, powodując awarię klienta.

FreeRDP w wersjach od 3.11.0 do przed 3.32.1 zawiera podatność osiągalnej asercji w urb_isoch_transfer. Złośliwy serwer RDP może wysłać niezwalidowane wartości OutputBufferSize, wywołując asercję w libusb_udev_isoch_transfer i zakończenie klienta.

FreeRDP przed wersją 3.31.0 zawiera podatność na przepełnienie bufora na stercie w nego_send_negotiation_request podczas przetwarzania wiadomości Server Redirection PDU z kontrolowanym przez atakującego polem LoadBalanceInfo. Złośliwy serwer RDP może wywołać przepełnienie, wysyłając pole o dowolnej długości, które jest zapisywane do stałego bufora 512-bajtowego bez walidacji, co powoduje awarie klienta lub potencjalne wykonanie kodu w połączeniu z ujawnieniem pamięci.

FreeRDP w wersjach przed 3.31.0 zawiera podatność ujawnienia niezainicjalizowanej pamięci sterty w kanale przekierowania USB urbdrc. Złośliwy serwer RDP może wywołać nieudane transfery USB, aby odczytać niezainicjalizowaną pamięć sterty z klienta, co umożliwia obejście ASLR i zdalne wykonanie kodu w połączeniu z podatnościami typu memory corruption.

FreeRDP przed wersją 3.31.0 zawiera przepełnienie liczb całkowitych w backendach audin Apple podczas przetwarzania wartości FramesPerPacket z komunikatów MSG_SNDIN_OPEN. Atakujący mogą dostarczyć spreparowane wartości FramesPerPacket, które powodują zawinięcie obliczeń rozmiaru AudioQueueAllocateBuffer, skutkując zbyt małą alokacją bufora i potencjalnym dostępem poza granice.

FreeRDP przed wersją 3.31.0 zawiera podatność typu denial-of-service w ścieżce żądań kontrolnych URBDRC, która nie waliduje OutputBufferSize przed przekazaniem do backendu libusb. Złośliwy serwer RDP może wysłać żądanie kontrolne z OutputBufferSize ustawionym na 65536, wywołując osiągalną asercję, która kończy proces klienta.

FreeRDP w wersjach przed 3.31.0 zawiera przepełnienie liczb całkowitych w funkcji Stream_EnsureRemainingCapacity biblioteki WinPR, umożliwiające zdalnym atakującym wywołanie denial-of-service. Złośliwy peer RD Gateway może wysłać ramkę WebSocket Ping ze spreparowaną 64-bitową rozszerzoną długością ładunku, wywołując zawinięcie liczb całkowitych i podwójne zwolnienie pamięci, które powoduje awarię klienta FreeRDP podczas połączenia.

FreeRDP przed wersją 3.31.0 zawiera podatność typu buffer over-read w funkcji rts_read_result w parserze transportu bramy RPC. Atakujący mogą wysłać złośliwy PDU BIND_ACK z obciętym wpisem wyniku, aby wywołać odczyt poza granice bufora powodujący przerwanie procesu.

FreeRDP w wersjach przed 3.31.0 nie waliduje wartości tablicy MonitorIds podczas parsowania plików połączeń RDP, umożliwiając nieograniczone indeksowanie tablicy w xf_detect_monitors. Atakujący mogą spreparować złośliwy plik RDP z wartością selectedmonitors poza zakresem, aby wywołać odczyt i zapis poza granice sterty podczas otwierania w xfreerdp.

FreeRDP przed wersją 3.31.0 zawiera podatność use-after-free w obsłudze urządzenia smartcard RDPDR, gdy utworzenie wątku roboczego nie powiedzie się po rejestracji urządzenia. Atakujący może wywołać błąd tworzenia wątku podczas konfiguracji kanału, powodując zwolnienie wskaźnika urządzenia, gdy devman nadal go używa, co prowadzi do awarii lub wykonania kodu.

FreeRDP przed wersją 3.31.0 zawiera podatność typu out-of-bounds read w funkcji func_get_ep_desc kanału URBDRC, która indeksuje tablice interfejsów według pozycji zamiast pola protokołu InterfaceNumber. Złośliwy serwer RDP może wysłać spreparowany komunikat SELECT_CONFIGURATION z permutowanymi wartościami InterfaceNumber, aby odczytać pamięć poza przydzieloną stertą i spowodować awarię klienta.

FreeRDP przed wersją 3.31.0 nie weryfikuje wartości DesktopWidth i DesktopHeight dostarczanych przez klienta podczas negocjacji GCC, co pozwala zdalnym atakującym na doprowadzenie do awarii serwera. Atakujący mogą wysyłać spreparowane pakiety RDP z zerowymi lub zbyt dużymi wymiarami, aby wywołać dzielenie przez zero lub błędy asercji w obliczeniach możliwości aktualizacji wielofragmentowych, co kończy proces serwera.

FreeRDP przed wersją 3.31.0 zawiera podatność dereferencji wskaźnika null w funkcji gdi_surface_bits podczas przetwarzania poleceń Surface Bits z identyfikatorem kodeka NSCodec. Złośliwy serwer RDP może wywołać awarię klienta FreeRDP, wysyłając spreparowane polecenie Surface Bits deklarujące użycie NSCodec, nawet gdy kodek jest wyłączony.

FreeRDP w wersjach przed 3.31.0 zawiera przepełnienie bufora na stercie w funkcji nego_send_negotiation_request(), która nie waliduje długości pola LB_LOAD_BALANCE_INFO przed zapisem do stałego bufora 512 bajtów. Złośliwy serwer RDP lub atakujący typu man-in-the-middle może wysłać pakiet Server Redirection PDU z nadmiernie dużym polem LB_LOAD_BALANCE_INFO, aby przepełnić bufor danymi kontrolowanymi przez atakującego.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na odmowę usługi poprzez nieskończoną pętlę w funkcji pool_decode_rect podczas dekodowania metabloków AVC444 z większą liczbą prostokątów regionów niż wstępnie przydzielony rozmiar tablicy roboczej. Złośliwy serwer RDP może wysłać spreparowane aktualizacje graficzne AVC444, powodując nieskończoną pętlę w wątkowanej ścieżce dekodowania.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na zapis poza granicami bufora w funkcji urb_send_current_frame_number_result() kanału klienta urbdrc. Złośliwy serwer RDP może wysłać spreparowaną 28-bajtową wiadomość przekierowania USB, aby wywołać 4-bajtowy zapis poza przydzielonym buforem 16 bajtów.

FreeRDP przed 3.31.0 zawiera podatność na odczyt poza granicami bufora w funkcji rdpdr_dump_packet z powodu przepełnienia 32-bitowej liczby całkowitej bez znaku w walidacji granic bufora. Złośliwy serwer RDP może wysłać spreparowany pakiet RDPDR z computerNameLen ustawionym na 0xFFFFFFF0, aby ominąć sprawdzanie granic i wywołać odczyty pamięci poza buforem pakietu.

FreeRDP przed wersją 3.31.0 zawiera podatność na zapis poza zakresem w obsłudze statycznych kanałów wirtualnych po stronie serwera, gdy włączona jest opcja CHANNEL_OPTION_SHOW_PROTOCOL. Uwierzytelnieni klienci mogą kolejkować zbyt duże wiadomości kanałowe, co powoduje niedomiar bufora i uszkodzenie pamięci sterty, w tym żywych wskaźników, potencjalnie umożliwiając wykonanie kodu.

Serwer FreeRDP przed wersją 3.31.0 zawiera podatność use-after-free w parserze DRDYNVC, która dereferencuje wskaźnik kanału po zwolnieniu blokady synchronizacji. Uwierzytelnieni klienci mogą ścigać komunikaty zamknięcia kanału AUDIN z przetwarzaniem danych DRDYNVC, aby wywołać heap-use-after-free podczas uzyskiwania dostępu do zwolnionych obiektów kanałów.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na ujawnienie informacji w serializatorze PDU ResetGraphics serwera RDPGFX, który nie inicjalizuje bajtów wypełnienia w stałym formacie 340 bajtów. Atakujący mogą otrzymać niezainicjalizowaną pamięć sterty, w tym aktywne wskaźniki i adresy funkcji GLib przesyłane w PDU.

FreeRDP w wersjach przed 3.31.0 zawiera podatność na odczyt poza granicami bufora w dekoderach odpowiedzi smartcard, które nie walidują pól długości ATR względem stałych tablic wbudowanych. Uwierzytelnieni klienci RDP mogą wysłać nadmierne długości ATR w odpowiedziach PAKID_CORE_DEVICE_IOCOMPLETION, aby wywołać odczyty poza obiektami stosu lub sterty.

FreeRDP przed wersją 3.31.0 zawiera podatność odczytu poza zakresem sterty w funkcji general_ChromaV1ToYUV444 podczas rekonstrukcji płaszczyzny chrominancji AVC444. Złośliwy serwer RDP może stworzyć RFX_AVC444_BITMAP_STREAM z określoną geometrią ramki, aby wywołać odczyt poza przydzieloną płaszczyzną luminancji.

FreeRDP w wersjach od 3.0.0 do 3.30.0 (przed 3.31.0) przesyła niezainicjalizowaną pamięć sterty w zarezerwowanych polach wyrównania w PDU Save Session Info. Trzy funkcje zapisu PDU w libfreerdp/core/info.c używają Stream_Seek zamiast Stream_Zero dla zarezerwowanych bajtów (do 576 bajtów), pozostawiając wcześniej zwolnione dane sterty w wychodzącym PDU. Ponieważ bufor wysyłki jest alokowany przez malloc (nie zerowany), stare dane sterty — w tym potencjalnie poświadczenia w postaci jawnego tekstu z poprzednich sesji — mogą zostać wysłane do odbierającego peera. Serwery oparte na FreeRDP używające rdpUpdate::SaveSessionInfo oraz freerdp-proxy (który przekazuje te PDU) są dotknięte, co pozwala na ujawnienie pamięci procesu serwera/proxy klientowi.

W FreeRDP przed wersją 3.28.0 funkcja rdpsnd_server_recv_formats zwalnia pamięć context->client_formats po otrzymaniu nieprawidłowego pakietu Client Audio Formats PDU, nie czyszcząc wskaźnika ani licznika. Uwierzytelniony klient RDP może wywołać błąd, pozostawiając wiszący wskaźnik, co prowadzi do podwójnego zwolnienia pamięci przy zamykaniu sesji. Może to spowodować awarię serwera i uszkodzenie sterty.

FreeRDP przed wersją 3.28.0 zawiera podatność, w której uwierzytelniony klient RDP może zareklamować DVI ADPCM z nBlockAlign równym 8 i nChannels równym 2, aby obliczenie `bs` w rdpsnd_server_select_format w channels/rdpsnd/server/rdpsnd_main.c wyniosło zero. Kolejna operacja out_frames modulo `bs` powoduje SIGFPE i kończy proces kanału rdpsnd po stronie serwera. Podatność naprawiono w wersji 3.28.0.

FreeRDP przed wersją 3.27.0 zawiera podatność w freerdp_image_copy_from_icon_data w libfreerdp/codec/color.c, gdzie obliczenie nWidth pomnożone przez nHeight pomnożone przez FreeRDPGetBytesPerPixel(format) jest wykonywane w arytmetyce 32-bitowej. Złośliwy serwer RDP może wysłać aktualizację RAIL TS_ICON_INFO o wymiarach takich jak 32768 na 32768 i 32 bity na piksel, co powoduje zawinięcie obliczenia rozmiaru, omijając sprawdzenie granic cbBitsColor przed odczytem przez freerdp_image_copy_no_overlap danych ikony kontrolowanych przez atakującego. Dotyczy to klientów RemoteApp korzystających z podatnej ścieżki biblioteki, podczas gdy xfreerdp ma zabezpieczenie po stronie wywołującego. Problem naprawiono w wersji 3.27.0.

FreeRDP przed wersją 3.27.0 zawiera podatność w funkcji glyph_cache_get w libfreerdp/cache/glyph.c, która sprawdza, czy indeks jest większy niż cache->number zamiast większy lub równy. Złośliwy serwer RDP może użyć powtórzenia GLYPH_FRAGMENT_USE w update_process_glyph_fragments, aby domyślna pamięć podręczna otrzymała indeks 254, gdy cache->number wynosi 254, co powoduje odczyt jednego wskaźnika poza tablicą entries i jego dereferencję jako glif. Może to spowodować awarię klienta i potencjalnie ujawnić sąsiednie dane sterty. Problem naprawiono w wersji 3.27.0.

W FreeRDP przed wersją 3.27.0 klienci używający TS Gateway akceptują wartość max_xmit_frag kontrolowaną przez serwer bez ograniczenia do rozmiaru bufora ReceiveFragment. Złośliwa brama może zadeklarować 65535 i wysłać fragment o tej długości, powodując zapis do mniejszego bufora. Może to doprowadzić do awarii klienta i potencjalnego wykonania kodu.

W FreeRDP przed wersją 3.27.0 backendy dekodera H.264 mogą zwracać płaszczyzny YUV o rozmiarach z bitstreamu bez porównania z wymiarami powierzchni RDPGFX. Złośliwy serwer RDP może dostarczyć bitstream AVC420 lub AVC444 o mniejszej klatce niż negocjowana powierzchnia, powodując odczyt poza przydzielone płaszczyzny. Może to ujawnić pamięć klienta lub doprowadzić do awarii.

FreeRDP przed wersją 3.30.0 zawiera podatność w serwerowej części RDSTLS, która akceptuje PDU RDSTLS_TYPE_CAPABILITIES dostarczone przez atakującego, podczas gdy rdstls_server_authenticate oczekuje na RDSTLS_TYPE_AUTHREQ. Pozwala to zdalnemu nieuwierzytelnionemu klientowi ominąć sprawdzanie RedirectionGuid, nazwy użytkownika, domeny lub hasła.

FreeRDP przed wersją 3.29.0 zawiera przepełnienie liczb całkowitych w kanale audin w backendach ALSA, sndio, WinMM i OpenSL ES. Złośliwy serwer RDP może podać wartość FramesPerPacket powodującą zawinięcie rozmiaru alokacji.

FreeRDP w wersjach do 3.28.0 zawiera podatność na odczyt poza zakresem w dekoderach bitmap RDP6 planar RLE: planar_decompress_plane_rle i planar_decompress_plane_rle_only w libfreerdp/codec/planar.c. Tylko 1-bajtowy bajt kontrolny jest sprawdzany pod kątem granic; kolejne 0–15 bajtów surowych deklarowanych przez atakującego są odczytywane bez walidacji, czy bufor źródłowy je zawiera. Złośliwy lub skompromitowany serwer RDP może wysłać obciętą bitmapę zakodowaną planar lub aktualizację powierzchni, powodując odczyt poza końcem bufora źródłowego przez klienta.

Klient FreeRDP dla systemu Windows przed wersją 3.29.0 zawiera podatność na przepełnienie bufora sterty w wirtualnym kanale schowka podczas przetwarzania PDU CLIPRDR_FILE_CONTENTS_RESPONSE bez walidacji rozmiaru dostarczonego przez serwer względem bufora docelowego. Złośliwy serwer RDP może wysłać odpowiedź z ładunkiem danych znacznie większym niż żądany, powodując dowolne uszkodzenie pamięci sterty, co może umożliwić zdalne wykonanie kodu, gdy użytkownik wykona operację wklejania.

FreeRDP przed wersją 3.29.0 zawiera podatność na dereferencję pustego wskaźnika podczas czyszczenia żądania sterowania urządzeniem smartcard, gdy dekodowanie stanu czytnika nie powiedzie się. Atakujący mogą wysyłać zniekształcone żądania IRP smartcard z niezerowym cReaders i obciętymi danymi stanu czytnika, aby spowodować awarię procesu poprzez dostęp do pustego wskaźnika w funkcjach free_reader_states.

FreeRDP przed wersją 3.29.0 zawiera osiągalne asercje (WINPR_ASSERT(OutputBufferLength == BytesReturned)) w serial_process_irp_device_control() w channels/serial/client/serial_main.c. Gdy przekierowanie urządzenia szeregowego jest włączone, a żądanie IRP_MJ_DEVICE_CONTROL kontrolowane przez serwer określa nieobsługiwany IOCTL z niezerowym OutputBufferLength, CommDeviceIoControl() może zakończyć się niepowodzeniem z BytesReturned = 0, powodując niezgodność wyzwalającą asercję i przerwanie procesu klienta (odmowa usługi).

FreeRDP przed wersją 3.29.0 (dotknięte wersje <= 3.28.0) zawiera podatność na dzielenie przez zero w kliencie przekierowania kamery rdpecam. Funkcja ecam_dev_process_start_streams_request() parsuje kontrolowany przez serwer CAM_MEDIA_TYPE_DESCRIPTION z PDU StartStreamsRequest, ale waliduje tylko Format i Flags, a nie FrameRateDenominator. Gdy złośliwy lub skompromitowany serwer RDP wyśle StartStreamsRequest z FrameRateDenominator ustawionym na zero, ecam_encoder_context_init() oblicza FrameRateNumerator / FrameRateDenominator, powodując dzielenie całkowite przez zero (SIGFPE) i zakończenie procesu klienta FreeRDP.

FreeRDP przed wersją 3.29.0 zawiera podatności na odczyt poza zakresem w asynchronicznym proxy komunikatów aktualizacji dla podstawowych poleceń rysowania PolygonSC i PolygonCB. Gdy AsyncUpdate jest włączone (np. xfreerdp /async-update), funkcje update_message_PolygonSC() i update_message_PolygonCB() alokują nową tablicę punktów, ale kopiują dane punktów z adresu struktury order zamiast z polygonSC->points / polygonCB->points, co skutkuje odczytem poza zakresem po stronie klienta. Złośliwy lub skompromitowany serwer RDP wysyłający spreparowane polecenia aktualizacji PolygonSC/PolygonCB może wywołać ujawnienie pamięci lub awarię klienta.

FreeRDP przed wersją 3.29.0 zawiera podatności na use-after-free w stercie po stronie klienta w asynchronicznym proxy komunikatów aktualizacji dla RAIL WINDOW_STATE_ORDER i NOTIFY_ICON_STATE_ORDER, gdy AsyncUpdate jest włączone. Gdy złośliwy lub skompromitowany serwer RDP wysyła spreparowane polecenia aktualizacji, proxy komunikatów płytko kopiuje struktury zawierające zagnieżdżone wskaźniki należące do parsera (np. titleInfo.string, windowRects, visibilityRects, bufory ikon). Parser zwalnia te zagnieżdżone bufory po zakończeniu wywołania zwrotnego, więc zakolejkowana asynchroniczna wiadomość później wysyła nieaktualne wskaźniki, potencjalnie powodując uszkodzenie pamięci lub awarię klienta.

FreeRDP przed wersją 3.29.0 zawiera podatność na use-after-free w stercie po stronie klienta w asynchronicznym proxy komunikatów aktualizacji dla WINDOW_ICON_ORDER, gdy AsyncUpdate jest włączone (np. xfreerdp /async-update). W funkcji update_message_WindowIcon() płytkie CopyMemory() nadpisuje świeżo zaalokowane lParam->iconInfo wskaźnikiem iconInfo należącym do parsera (windowIcon->iconInfo). Po zakończeniu wywołania zwrotnego parsera, update_recv_window_info_order() zwalnia window_icon.iconInfo, ale zakolejkowana asynchroniczna wiadomość nadal przechowuje i później wysyła ten nieaktualny wskaźnik. Złośliwy lub skompromitowany serwer RDP wysyłający spreparowane RAIL Window Alternate Secondary Order z WINDOW_ORDER_ICON może wywołać use-after-free, prowadząc do uszkodzenia pamięci i awarii klienta.

FreeRDP w wersjach 3.28.0 i wcześniejszych zawiera przepełnienie bufora sterty w obsłudze kanału RAIL po stronie serwera (rail_server_handle_messages() w channels/rail/server/rail_main.c). Podczas przetwarzania nagłówka PDU RAIL, kod odejmuje RAIL_PDU_HEADER_LENGTH od kontrolowanego przez rówieśnika pola orderLength bez uprzedniego sprawdzenia, czy orderLength jest co najmniej równe długości nagłówka. Dla wartości orderLength 0..3 powoduje to niedomiar liczby całkowitej bez znaku do bardzo dużego rozmiaru, co omija sprawdzenie pojemności Stream_EnsureRemainingCapacity() (z powodu zawijania arytmetyki wskaźników), a następnie jest przekazywane do WTSVirtualChannelRead(), co skutkuje zapisem poza zakresem sterty. Złośliwy lub skompromitowany klient RDP może to wykorzystać do uszkodzenia sterty i awarii serwera. Naprawione w FreeRDP 3.29.0.

FreeRDP przed wersją 3.29.0 nie egzekwuje limitu RESPONSE_SIZE_LIMIT podczas przetwarzania odpowiedzi HTTP z kodowaniem Transfer-Encoding: chunked w http_response_recv_body(). Atakujący kontrolujący złośliwy punkt końcowy RD Gateway mogą wysyłać zbyt duże fragmentaryczne treści odpowiedzi, aby wyczerpać zasoby pamięci klienta bez wyzwalania skonfigurowanego limitu rozmiaru.

FreeRDP przed wersją 3.29.0 zawiera podatność na odmowę usługi w handlerze kanału serwera RDPEI. Złośliwy klient RDP może wysłać wiadomość RDPEI zawierającą tylko nagłówek z dużą zadeklarowaną długością treści, co powoduje nadmierne przydzielenie pamięci na serwerze.

FreeRDP przed wersją 3.29.0 nieprawidłowo waliduje ścieżki RDPDR dostarczane przez serwer w przekierowaniu dysków. Pozwala to atakującemu na dostęp do ścieżek poza skonfigurowanym katalogiem głównym poprzez wysyłanie ścieżek niezakotwiczonych, omijających sprawdzanie granic.

FreeRDP przed wersją 3.29.0 nieprawidłowo waliduje rozszerzone użycie klucza (EKU) certyfikatu równorzędnego podczas uwierzytelniania TLS po stronie klienta. Gdy weryfikacja celu serwera (X509_PURPOSE_SSL_SERVER) zawiedzie, kod przechodzi do weryfikacji celu klienta i dowolnego celu, co pozwala na akceptację certyfikatu ważnego tylko dla uwierzytelniania klienta jako certyfikatu serwera RDP.

FreeRDP przed wersją 3.29.0 zawiera podatność nieprawidłowej walidacji nazwy hosta certyfikatu. Dopasowywacz nazw hosta TLS traktuje wzorzec wildcard, taki jak *.example.com, jako pasujący do dowolnej nazwy hosta kończącej się na .example.com, co powoduje błędną akceptację certyfikatu wildcard dla wieloetykietowych subdomen, takich jak a.b.example.com.

FreeRDP przed wersją 3.29.0 zawiera podatność nadmiernego ujawniania bufora w transporcie WebSocket bramy. Odpowiedź Pong klienta używa stałego strumienia odpowiedzi o długości 1024 bajtów, której długość nie jest ograniczona do rzeczywistego ładunku Ping, co powoduje, że złośliwy peer WebSocket otrzymuje nadmiernie długi Pong ujawniający bajty poza odebranym ładunkiem. Ping o zerowej długości powoduje asercję i zakończenie klienta (odmowa usługi).

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu poza dozwolonym obszarem sterty w funkcjach update_process_glyph_fragments() i glyph_cache_fragment_put(). Złośliwy serwer RDP może wysłać krótki fragment z zawyżonym rozmiarem, powodując odczyt poza buforem i awarię klienta.

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu poza dozwolonym obszarem sterty w dekoderze TSMF FFmpeg podczas parsowania typów multimediów AVC1 MPEG2VIDEOINFO z niewystarczającymi danymi dodatkowymi. Atakujący może wysłać nieprawidłowe dane formatu multimediów, powodując awarię.

FreeRDP przed wersją 3.29.0 zawiera podatność dereferencji wskaźnika NULL w dekoderach żądań pamięci podręcznej kart inteligentnych. Gdy emulacja kart inteligentnych jest włączona, atakujący może wysłać spreparowane żądanie z pustym wskaźnikiem, powodując wywołanie strlen() na NULL i zakończenie procesu klienta.

FreeRDP przed wersją 3.29.0 zawiera podatność odczytu sterty poza dozwolonym zakresem w parserze rozszerzenia UVC H.264, który nie waliduje długości deskryptora przed dostępem do pola GUID. Lokalny atakujący ze złośliwą kamerą USB może wywołać odczyt sterty poza przydzielone granice podczas konfiguracji strumienia kamery, powodując odmowę usługi.