Arjun Basnet

يؤدي عدم تحييد العناصر الخاصة بشكل صحيح في مدير تكوين SSH الموجود في `client/ssh/config/manager.go` إلى السماح لند (peer) خبيث أو مخترق بتنفيذ أوامر عشوائية على مضيفات عملاء أخرى. يقوم العميل بإنشاء ملف تكوين OpenSSH للنظام (مثل `/etc/ssh/ssh config.d/99-netbird.conf` أو `%PROGRAMDATA%sshssh config.d` على نظام Windows) يقوم بتضمين FQDN أو اسم المضيف الخاص بالند داخل توجيه Match host محاط بعلامات اقتباس مزدوجة دون إجراء عملية هروب (escaping) صحيحة. يمكن لاسم الند الذي يحتوي على علامة اقتباس مزدوجة أن يكسر سياق الاقتباس ويحقن توجيهات تكوين SSH عشوائية، بما في ذلك أوامر `exec` التي تعمل محلياً بأي مستخدم على المضيف في المرة التالية التي يقوم فيها ذلك المستخدم بتشغيل ssh. يؤثر هذا الأمر على عملاء سطح المكتب في أنظمة Linux و macOS و Windows و FreeBSD.

A heap-based out-of-bounds write occurs in the `BoltReadHandler()` function within `src/bolt/bolt api.c`. A remote unauthenticated attacker can trigger this by sending a Bolt RESET message with a custom chunk size to the Bolt port. The issue arises because the size is validated using `ASSERT()`, which is removed during release builds. This allows the system to compute a destination pointer based on a 16-bit size provided via the wire, potentially moving buffered data up to 64 KiB before the start of the read buffer. This can lead to a denial of service or arbitrary code execution. Only deployments with the Bolt endpoint enabled via `BOLT PORT` are affected.

An improper authentication issue exists in the `is authenticated()` function (src/bolt/bolt api.c). The function determines if a password is required by sending an empty AUTH command to Redis. It incorrectly treats only a WRONGPASS error as an indication that authentication is necessary. Other errors, such as LOADING (occurring during dataset loading), MASTERDOWN (occurring during replication failover), or OOM (Out of Memory), result in the client being treated as authenticated. This allows a remote unauthenticated attacker to execute graph queries without credentials via the Bolt endpoint. This issue only affects deployments where the Bolt endpoint is enabled via `BOLT PORT`.

A type confusion issue exists in the ` read flags()` function (src/commands/cmd dispatcher.c). A remote authenticated attacker with permissions to execute `GRAPH.QUERY` can trigger this by providing a `--bolt` argument. The system casts a Redis string object to a Bolt client structure without verifying its origin, leading to the dereferencing of pointers read from that object. This can result in a denial of service, memory corruption, or memory disclosure. This issue persists even if the Bolt endpoint is disabled, affecting default configurations.

A heap-based out-of-bounds write exists in the `ws read frame()` function (src/bolt/ws.c) and the `buffer apply mask()` function (src/bolt/buffer.c). A remote unauthenticated attacker can cause a denial of service or corrupt heap memory by sending a WebSocket frame with a 64-bit extended payload length to the Bolt port. Because the payload length is not bounded and the bounds check in `buffer apply mask()` is an ASSERT() that is removed in release builds, the function XORs memory beyond the receive buffer using an attacker-supplied mask key. This issue only affects deployments where the Bolt endpoint `BOLT PORT` is enabled.

A double free and use-after-free issue exists in the `RdbLoadDeletedNodes()` function of the RDB graph decoders. A remote attacker capable of issuing Redis replication commands can trigger a denial of service or execute arbitrary code within the redis-server process. This occurs when a crafted RDB stream is provided where the deleted-nodes buffer length is not a multiple of `sizeof(NodeID)`. Because the length check utilizes `ASSERT()`, which is removed during release builds, the system proceeds to free the buffer, read it, and then free it again.

A heap-based out-of-bounds read occurs in the `BufferSerializerIOv2 ReadBuffer()` function within `src/serializers/serializer io.c`. A remote attacker capable of issuing Redis replication commands can trigger this by providing a crafted RDB stream where the sub-buffer length field is larger than the remaining buffer size. Because the bounds check relies on an `ASSERT()` that is removed during release builds, the `memcpy()` function reads beyond the allocated heap memory, potentially leading to a denial of service or the disclosure of heap memory.

A stack-based buffer overflow exists in the ` RdbLoadEntity()` function of the RDB graph decoders. A remote attacker capable of issuing Redis replication commands can trigger this issue by providing a specially crafted RDB stream containing a controlled entity property count. This count is used to size two variable-length arrays on the thread stack without an upper bound, which the decoder then populates with attacker-supplied values. This can lead to a denial of service or the execution of arbitrary code.

يمكن أن يؤدي التكرار غير المنضبط في محلل XML المدمج (ofstd/libsrc/ofxml.cc) إلى حجب الخدمة، مما يؤدي إلى استنفاد المكدس وتعطل العملية. يحدث هذا عندما يقوم المحلل بمعالجة مستند XML مصمم خصيصاً يحتوي على عناصر متداخلة بعمق. يمكن الوصول إلى هذه المشكلة عبر أداة `dcmencap` عند تغليف مستند CDA، أو من خلال أي تطبيق يستخدم دالتي `parseFile()` أو `parseString()` من `OFXMLParser` على مدخلات غير موثوقة. الدوال المصابة تحديداً هي `ParseXMLElement()` و `emptyTheNode()` داخل `XMLNode`.

توجد ثغرة قراءة خارج الحدود العالمية في فك ترميز Huffman ضمن مكتبات IJG JPEG المدمجة (dcmjpeg/libijg8 و libijg12 و libijg16). يحدث هذا عند معالجة ملف DICOM يحتوي على تدفق JPEG مصمم خصيصاً حيث تحدد جدول Huffman فئة فرق أعلى من 15. نظراً لأن قيم رموز Huffman لا يتم التحقق من نطاقها افتراضياً، يمكن للمهاجم قراءة الذاكرة خارج جداول `extend test[]` و `extend offset[]` مما يؤدي إلى تعطل النظام أو فك ترميز بيانات البكسل بشكل غير صحيح. يؤثر هذا على dcmdjpeg وأي تطبيق يستخدم DCMTK لفك ضغط صور DICOM JPEG.

يؤدي التكرار غير المنضبط في دالتي `DcmSequenceOfItems::read()` و `DcmItem::read()` ضمن مكتبة dcmdata إلى السماح لمهاجم عن بُعد غير مصرح له بالتسبب في حالة رفض الخدمة، مما يؤدي إلى استنفاد المكدس وتوقف العملية عن العمل. يحدث هذا عندما يعالج البرنامج مجموعة بيانات DICOM تحتوي على تسلسلات متداخلة بعمق (عناصر SQ). يؤثر هذا الخلل على الخدمات التي تقوم بتحليل مجموعات البيانات قبل عملية المصادقة، مثل تلك التي تستخدم طلبات C-STORE في storescp و dcmrecv و dcmqrscp، بالإضافة إلى الأدوات المحلية مثل dcmdump عند فتح ملف ضار.

An out-of-bounds read issue exists in the ZRLE decoder. A malicious or compromised VNC server can trigger this by sending ZRLE-encoded tiles with palette indices that exceed the declared palette size. The functions `readPaletteRleTile()` and `readPackedPaletteTile()` use the attacker-supplied index to look up colors without validating it against the palette size. This results in out-of-bounds heap data being copied into the framebuffer, causing a garbled display, or causing a read fault that crashes the viewer.

Incorrect permission assignment allows a local authenticated user to read or overwrite the inter-process communication (IPC) handles used between the TightVNC service and its desktop server process. The named shared memory segment in the Global namespace, which carries the pipe HANDLE values, is created with a NULL DACL (Discretionary Access Control List), meaning it lacks access restrictions. Additionally, the segment name is derived from a time-seeded `srand(time(0))` value, making it predictable to one-second granularity. A low-privileged local process can open this mapping and tamper with the IPC channel of a service running as SYSTEM, potentially leading to session data disclosure, privilege escalation, or denial of service.

A NULL pointer dereference in the Win8ScreenDriver component allows an attacker to crash the server, resulting in a denial of service. This occurs when the re-initialization of the DXGI Desktop Duplication driver fails within the `applyNewScreenProperties()` function, such as after a GPU reset, display hot-plug, or session change. Consequently, the `m drvImpl` variable remains NULL and is dereferenced without validation by the functions `executeDetection()`, `getScreenBuffer()`, `grabFb()`, `getScreenPropertiesChanged()`, and `getCursorPosition()`.

يحدث تكرار متبادل غير منضبط بين الدوال `parseDataSet()` و `parseElement()` و `parseSequence()` داخل فئة `DcmJSONReader`. يمكن للمهاجم التسبب في حالة رفض الخدمة، مما يؤدي إلى استنفاد المكدس وتوقف العملية، من خلال تقديم مستند DICOM JSON مصمم خصيصاً يحتوي على قيم تسلسل (SQ) متداخلة بعمق. يؤثر هذا الخلل على أداة `json2dcm` وأي خدمة تستخدم هذا القارئ لتحويل ملفات DICOM JSON غير الموثوقة، مثل حمولات DICOMweb.

Uncontrolled mutual recursion between the `parseDataSet()` and `parseSequence()` functions in the XML-to-DICOM converter (dcmdata/libdcxml/xml2dcm.cc) can lead to a denial of service. An attacker can trigger stack exhaustion and a process crash by providing a crafted XML file containing deeply nested sequence and item elements. This affects the `xml2dcm` tool and any service utilizing this code to convert untrusted XML to DICOM.

يمكن أن يؤدي التكرار غير المنضبط في الدالة `moveRecordToTree()` ضمن dcmdata/libsrc/dcdicdir.cc إلى حجب الخدمة الذي يتميز باستنفاد المكدس وتعطل العملية. يحدث هذا عندما يقوم المهاجم بتوفير ملف DICOMDIR مصمم خصيصًا يحتوي على تسلسل عميق من سجلات الدليل المرتبطة عبر سمة `Offset of Referenced Lower-Level Directory Entity`. أي تطبيق يفتح ملف DICOMDIR، مثل dcmgpdir أو عارضي الوسائط المبنيين على DCMTK، يكون عرضة لهذه المشكلة.

A local authenticated user can execute arbitrary code with SYSTEM privileges due to an uncontrolled search path element. The `DynamicLibrary::init()` function (and ThemeLib) uses `LoadLibrary()` to load screenhooks32.dll and screenhooks64.dll using a bare file name without `LOAD LIBRARY SEARCH *` flags. This causes the service to follow the default DLL search order, allowing it to load a malicious DLL placed by an attacker in a writable directory that appears earlier in the search sequence, such as an installation directory with permissive Access Control Lists (ACLs).

An integer underflow occurs in the `trimTransparent()` function within `WinCursorShapeUtils` when a cursor shape with a width or height of zero is processed on the DXGI capture path. This allows a local authenticated user to crash the server and potentially read out-of-bounds memory. The issue arises because the loop bound `width - 1` wraps to 0xFFFFFFFF, leading to memory access approximately 4 GB beyond the 64 KB cursor buffer. Additionally, a monochrome cursor with a height of 1 is reduced to 0 because the `getCursorHeight()` function halves the height in place.

يوجد خطأ في القراءة خارج الحدود المستندة إلى الذاكرة المكدسة (heap) في الدالة `decodeFrame()` ضمن الملف `dcmdata/libsrc/dcrleccd.cc`. يحدث هذا عند معالجة ملف DICOM RLE Lossless مصمم خصيصاً بحيث يكون جزء بيانات البكسل أقصر من رأس RLE المكون من 64 بايت، مما يسمح للمهاجم بقراءة ما يصل إلى 63 بايت من ذاكرة heap المجاورة أو التسبب في تعطل النظام. ينبع المشكلة من قيام الدالة بنسخ 64 بايت دون التحقق من طول الجزء. تتأثر التطبيقات التي تقوم بفك تشفير صور RLE إطاراً بإطار، مثل تلك التي تستخدم الدالة `getUncompressedFrame()` في `DcmPixelData`.