1121984919

توجد ثغرات في عملية التحقق من هوية شهادات TLS داخل الدوال `tls verify certificate()` و`tls match hostname()` و`x509 utils get dns names()`. يستخدم البرنامج مطابقة مخصصة لسلسلة الاسم الشائع (Common Name) وسلسلة SAN الخاصة بـ DNS بدلاً من واجهات برمجة تطبيقات (APIs) التحقق من الهوية التي تراعي الطول في OpenSSL. ويؤدي ذلك إلى ثلاث مشكلات: يتم اقتطاع قيم SAN الخاصة بـ DNS عند بايتات NUL المضمنة، ويتم قبول الاسم الشائع المطابق حتى في حالة وجود إدخالات SAN غير مطابقة في DNS، ويتم قبول الأهداف ذات العناوين IP الحرفية عبر مطابقة DNS/CN دون مقارنة عناوين IP في SAN. يمكن للمهاجم الذي يمتلك سلسلة شهادات موثوقة أو صادرة عن طريق الخطأ تجاوز التحقق من هوية الخادم، مما يعرض مصادقة خادم TLS للخطر.

تحدث عملية إزالة مرجعية مؤشر فارغ (null pointer dereference) في برامج فك تشفير طلبات ذاكرة التخزين المؤقت للبطاقات الذكية عندما تقبل مؤشرات NDR ذات القيمة NULL لـ `LookupName` أثناء عمليات `SCARD IOCTL READCACHEA` و`SCARD IOCTL WRITECACHEA`. في حالة تمكين محاكاة البطاقة الذكية، يمكن للمهاجم إرسال طلبات ذاكرة التخزين المؤقت للبطاقة الذكية المصممة خصيصًا باستخدام مؤشرات اسم البحث NULL لتشغيل الدالة `strlen()` على مؤشر فارغ، مما يؤدي إلى إنهاء عملية العميل.

توجد مشكلة تتعلق باستخدام الذاكرة المكدسة (heap) بعد تحريرها من جانب العميل في وكيل رسائل التحديث غير المتزامن (async update message proxy) لـ RAIL WINDOW STATE ORDER و NOTIFY ICON STATE ORDER عند تمكين AsyncUpdate. يمكن لخادم RDP ضار أو مخترق إرسال أوامر تحديث مصممة خصيصًا، مما يتسبب في قيام وكيل الرسائل بعمل نسخة سطحية للهياكل التي تحتوي على مؤشرات متداخلة مملوكة للمحلل، مثل `titleInfo.string` و`windowRects` و`visibilityRects` ومخازن الأيقونات. ونظرًا لأن المحلل يحرر هذه المخازن المتداخلة بعد عودة الاستدعاء، فإن الرسالة غير المتزامنة الموجودة في قائمة الانتظار ترسل مؤشرات قديمة، مما قد يؤدي إلى تلف الذاكرة أو تعطل العميل.

يحدث خطأ في التحقق من الغرض من ”الاستخدام الموسع للمفتاح“ (EKU) أثناء مصادقة TLS للخادم من جانب العميل. داخل الدالة `x509 utils verify()`، إذا فشل التحقق من غرض الخادم (X509 PURPOSE SSL SERVER)، فإن النظام يلجأ بشكل غير صحيح إلى التحقق من غرض العميل وأي غرض آخر. وهذا يسمح بقبول شهادة موثوقة تتطابق مع اسم المضيف ولكنها صالحة فقط لمصادقة العميل كشهادة خادم RDP شرعية، متجاوزًا التحقق من الغرض في البيئات التي تفصل بين أدوار شهادات العميل والخادم.

توجد مشكلة رفض الخدمة عند تمكين إعادة توجيه الجهاز التسلسلي. قد يؤدي طلب IRP MJ DEVICE CONTROL الذي يتحكم فيه الخادم ويحدد IOCTL غير مدعوم مع قيمة `OutputBufferLength` غير صفرية إلى فشل الدالة `CommDeviceIoControl()` مع قيمة `BytesReturned` تساوي 0. يؤدي هذا التضارب إلى تشغيل تأكيد قابل للوصول `WINPR ASSERT(OutputBufferLength == BytesReturned)` داخل الدالة `serial process irp device control()` الموجودة في الملف channels/serial/client/serial main.c، مما يؤدي إلى إيقاف عملية العميل.

يؤدي عدم التحقق الكافي من مسارات RDPDR التي يوفرها الخادم أثناء إعادة توجيه محرك الأقراص إلى السماح لخادم RDP ضار بالوصول إلى مسارات متجانسة البادئة خارج الجذر المشترك المُعد. ومن خلال إرسال مسارات غير متجذرة تتجاوز فحص حدود الجذر المشترك، يمكن للمهاجم قراءة الملفات وكتابتها وحذفها وتعدادها في الدلائل المتجانسة.

توجد مشكلة رفض الخدمة في معالج قناة خادم RDPEI. يفشل المكون في التحقق من صحة الحد الأقصى لطول نص وحدة بيانات البروتوكول (PDU) قبل تخصيص الدفق. يمكن لعميل RDP ضار أن يتسبب في تخصيص ذاكرة مفرط على الخادم عن طريق إرسال رسالة RDPEI تحتوي على رأس فقط مع طول نص مُعلن كبير.

توجد مشكلة تتعلق بالتحقق غير الصحيح من اسم مضيف الشهادة، حيث تقوم وظيفة مطابقة اسم مضيف TLS `tls match hostname()` الموجودة في libfreerdp/crypto/tls.c بمعالجة أنماط أحرف البدل بشكل غير صحيح. وعلى وجه التحديد، يتم التعامل مع نمط مثل *.example.com على أنه يطابق أي اسم مضيف ينتهي بـ .example.com، مما يسمح بقبول الشهادات التي تحتوي على أحرف البدل للنطاقات الفرعية متعددة التسميات مثل a.b.example.com. ويؤدي هذا السلوك إلى إضعاف مصادقة خادم TLS.

يحدث عدم كفاية التحقق من صحة CRLF وأحرف التحكم في حقل `TargetNetAddress` الخاص بإعادة توجيه RDP الذي يتحكم فيه الخادم. يتم تعيين هذه القيمة إلى `ServerHostname` الخاص بالعميل، ثم يتم كتابتها لاحقًا في سطر طلب CONNECT للوكيل ورأس Host بواسطة الدالة `http proxy connect()` دون تصفية عند الاتصال عبر وكيل HTTP. يمكن لخادم RDP مخترق أو ضار إرسال وحدة بيانات البروتوكول (PDU) لإعادة التوجيه مصممة خصيصًا تحتوي على أحرف تحكم مضمنة لإدخال رؤوس أو طلبات عشوائية في طلب CONNECT للوكيل HTTP.

توجد ثغرة قراءة خارج حدود الذاكرة (heap out-of-bounds read) في الدالتين `update process glyph fragments()` و`glyph cache fragment put()` داخل الملف libfreerdp/cache/glyph.c. تحدث المشكلة أثناء معالجة تحديث GLYPH FRAGMENT ADD، حيث يقرأ النظام حجم جزء مُعلنًا يتحكم فيه الخادم ويبلغ بايتًا واحدًا دون التحقق مما إذا كان يتناسب مع المساحة المتبقية في المخزن المؤقت المستلم قبل التخصيص والنسخ. يمكن لخادم RDP ضار أن يثير هذه المشكلة عن طريق إرسال جزء قصير بحجم مُعلن أكبر من اللازم، مما يتسبب في قيام العميل بالقراءة خارج نطاق المخزن المؤقت المخصص، وبالتالي تعطل النظام.

يوجد تجاوز سعة مخزن الذاكرة المؤقتة (heap buffer overflow) في معالج قناة RAIL من جانب الخادم. تحدث المشكلة داخل الدالة `rail server handle messages()` في الملف `channels/rail/server/rail main.c` عند معالجة رأس وحدة بيانات RAIL (RAIL PDU). يقوم البرنامج بطرح `RAIL PDU HEADER LENGTH` من الحقل `orderLength` الذي يتحكم فيه النظير دون التحقق من أن `orderLength` يساوي طول الرأس على الأقل. إذا كان `orderLength` بين 0 و3، يحدث انخفاض في قيمة عدد صحيح غير موقّع، مما يؤدي إلى حجم كبير جدًا يتجاوز فحص السعة `Stream EnsureRemainingCapacity()` عبر التفاف حسابي للمؤشر. ثم يتم تمرير هذه القيمة إلى `WTSVirtualChannelRead()`، مما يؤدي إلى كتابة خارج نطاق الكومة. يمكن لعميل RDP ضار أو مخترق استغلال هذا الثغرة لتلف الكومة وتعطيل الخادم.

تحدث عملية قراءة خارج حدود الذاكرة (heap out-of-bounds read) في وحدة فك الترميز TSMF FFmpeg عند تحليل أنواع الوسائط AVC1 MPEG2VIDEOINFO التي تحتوي على `ExtraData` غير كافية. يمكن لمهاجم عن بُعد التسبب في تعطل النظام عن طريق إرسال بيانات بتنسيق وسائط مشوهة من خادم، مما يؤدي إلى قيام النظام بقراءة إزاحات ثابتة دون التحقق من صحة طول المخزن المؤقت المصدر.

تقوم الدالة `WindowsViewer.get command()` بإنشاء أمر shell لـ cmd.exe عن طريق تضمين مسار ملف في سلسلة f-string دون استخدام أحرف الهروب المناسبة. ثم يتم تمرير هذه النتيجة إلى `subprocess.Popen(..., shell=True)`، مما يسمح بحقن أوامر cmd.exe تعسفية عبر أحرف خاصة في شل ضمن مسار الملف.