Davidkorczynski

توجد مشكلة حيث تقوم الدالة `wasi poll oneoff()` في `core/iwasm/libraries/libc-wasi/libc wasi wrapper.c` بالتحقق من مؤشر الإخراج لـ `wasi event t` واحد فقط، بينما يمكن للدالة `wasmtime ssp poll oneoff()` في `core/iwasm/libraries/libc-wasi/sandboxed-system-primitives/src/posix.c` كتابة عدد من الأحداث يساوي قيمة `nsubscriptions` التي يتحكم فيها الضيف. يمكن لوحدة ضيف مصممة خصيصاً تقديم اشتراكات متعددة تنتج أحداثاً مع تحديد منطقة إخراج تتسع لحدث واحد فقط، مما يؤدي إلى عملية كتابة تتجاوز حدود الذاكرة الخطية لـ Wasm المعتمدة إلى ذاكرة الـ heap المجاورة للمضيف. تحتوي عملية الكتابة هذه على بيانات أحداث يتحكم فيها المهاجم جزئياً، مما قد يؤدي إلى تعطل عملية المضيف، مع تداعيات إضافية على السرية أو السلامة اعتماداً على تخطيط الـ heap.

يوجد تجاوز لسعة المخزن المؤقت المستند إلى المكدس (stack-based buffer overflow) عند التعامل مع الصور المضغوطة بتنسيق bzip2. يمكن للمهاجم تقديم صورة مصممة خصيصاً باستخدام ضغط bzip2 للكتابة فوق ذاكرة المكدس أثناء عملية فك التشفير، مما يؤدي إلى تلف الذاكرة أو تعطل النظام.

يحتوي مفكك تشفير TIFF المكون من مربعات (tiled-TIFF) في وحدة libImaging على مشكلة في فساد الذاكرة. عند معالجة صور TIFF المكونة من مربعات، تقوم الدالة ` decodeTile()` بتخصيص ذاكرة مؤقتة بناءً على حجم المربع الذي يبلغ عنه libtiff. ومع ذلك، يفترض حلقة القفز والنسخ اللاحقة أن الذاكرة المؤقتة لا يقل حجمها عن حجم خطوة الصف مضروبًا في طول المربع. إذا أعاد libtiff تخصيص مربع أصغر من هذا الحجم المتوقع، فإن الدالة `copy4()` تقوم بعملية `memcpy` تقرأ ما وراء الذاكرة المؤقتة المخصصة في الـ heap. يمكن للمهاجم استغلال ذلك عن طريق تقديم ملف TIFF مصمم خصيصًا، مما قد يؤدي إلى تعطل العملية (حجب الخدمة) أو كشف بيانات الـ heap المجاورة داخل البكسلات التي تم فك تشفيرها.

يفشل برنامج فك تشفير JPEG في Pillow في التحقق من عرض المخرجات الفعلي وعدد المكونات بعد طلب تغيير الحجم. عندما يستخدم تطبيق ما `draft()` أو `thumbnail()` لطلب تقليل حجم صورة JPEG من نوع SOF3 عديمة الفقدان بدقة 8 بت، ويكون البرنامج مرتبطًا بـ libjpeg-turbo 3.x، فقد يتم تجاهل هندسة تقليل الحجم المطلوبة. يحدث هذا لأن `ImagingJpegDecode()` لا تقارن أبعاد المخرجات من libjpeg مع حجم المخزن المؤقت المخصص في ` setimage()`. نتيجة لذلك، يمكن كتابة خط مسح كامل العرض في مخزن مؤقت مخصص لمقياس مسودة أصغر، مما يؤدي إلى تلف ذاكرة الـ heap. يمكن أن يؤدي ذلك إلى تعطل العملية أو السماح بتنفيذ رمز برمجى عشوائي. يتم تحفيز هذه المشكلة تحديدًا عندما يكون عرض وارتفاع الصورة 1024 بكسل على الأقل ويتم اختيار عامل تغيير حجم بمقدار 2 أو أكثر.

تحدث مشكلة حماية غير كافية لبيانات الاعتماد عندما يفشل خيار `/restricted-admin` في منع تفويض بيانات اعتماد CredSSP (Credential Security Support Provider). يؤدي ذلك إلى إرسال كلمة المرور بنص واضح إلى خادم RDP. يمكن للمضيف الوجهة المخترق أو المهاجم في وضع (man-in-the-middle) فك تشفير `TSPasswordCreds` ووحدة بيانات البروتوكول (PDU) لمعلومات العميل للحصول على قيم نطاق إداري واسم مستخدم وكلمة مرور قابلة لإعادة الاستخدام.

يفشل العميل في التحقق من `PROTOCOL RDSTLS` أو `PROTOCOL HYBRID EX` الذي يختاره الخادم مقابل مجموعة البروتوكولات الممكنة داخل دالة `nego process negotiation response()`. يسمح هذا الخلل بخفض مستوى بروتوكول الأمان، مما يمكن خادمًا خبيثًا أو مهاجمًا في المنتصف (man-in-the-middle) من اختيار RDSTLS لتجاوز تثبيت `/sec:nla`. وبناءً على ذلك، يمكن للمهاجم إكمال المصادقة باستخدام ملف تعريف ارتباط (cookie) مكون من أصفار واستلام كلمة مرور المستخدم بنص واضح في Client Info PDU.

توجد مشكلة في التحقق غير السليم من الشهادات في الدالة `freerdp http request()` ضمن libfreerdp/utils/http.c. تسمح هذه الثغرة بإكمال مصافحات TLS دون التحقق من سلسلة شهادات الخادم. يمكن للمهاجم الموجود على المسار (on-path) استغلال ذلك لانتحال صفة login.microsoftonline.com أثناء تدفق مصادقة Azure AD، مما يسمح بالتقاط رموز تفويض OAuth واستبدال مستند اكتشاف OpenID.

يفشل خادم shadow freerdp-shadow-cli في إجراء فحص للنطاق على معرف الإطار (frame id) ضمن وحدة بيانات البروتوكول الخاصة بإقرار الإطار (Frame Acknowledge PDU) للعميل. يسمح هذا بتدفق ناقص (underflow) في عدد الإطارات قيد التنفيذ في الدالة `shadow encoder inflight frames()`. يمكن لعميل مصرح له التسبب في ذلك من خلال إقرار معرف إطار يزيد بمقدار واحد عن آخر إطار تم إرساله، مما يؤدي إلى خطأ قسمة على صفر (SIGFPE) في الدالة `shadow encoder create frame id()`. يؤدي هذا إلى إنهاء العملية وفصل جميع المشاهدين.

توجد مشكلة في الدالة `convert filedescriptors to file list()` ضمن الملف `winpr/libwinpr/clipboard/synthetic file.c`. يفشل البرنامج في رفض تسلسلات `/` أو `..` عند دمج قيم `cFileName` التي يوفرها الخادم من بيانات الحافظة `FileGroupDescriptorW` في معرف المورد الموحد (URI) المحلي `file://`. يسمح هذا لخادم RDP ضار باستخدام تسلسلات تخطي المسار لخداع العميل لنسخ ملف محلي تعسفي يمكن للمستخدم قراءته أثناء عملية لصق الحافظة التالية.

توجد ثغرة قراءة خارج حدود الذاكرة المكدسة (heap out-of-bounds read) في دالة حافظة WinPR المسماة `convert filedescriptors to file list()`. تحدث المشكلة عندما تقوم الدالة بفحص `cFileName` من نوع `FILEDESCRIPTORW` يتحكم فيه الخادم باستخدام استدعاءات ` wcschr()` و `count special chars()` غير محدودة دون ضمان وجود إنهاء NUL. يمكن لخادم RDP ضار استغلال ذلك عن طريق إرسال كتلة `FILEDESCRIPTORW` ذات طول فردي في `CB FORMAT DATA RESPONSE` مما يؤدي إلى تعطل عملاء X11 و Wayland و SDL عندما يقوم المستخدم بلصق ملفات منسوخة من الخادم.

يحدث خطأ في القراءة خارج حدود الذاكرة المكدسة (heap out-of-bounds read) في الدالة `freerdp assistance parse all elements of()`. يحدث هذا لأن مؤشر التحليل يتقدم دون تقليل الطول المتبقي، مما يسمح لنافذة الفحص بتجاوز مخزن `ConnectionString2` المؤقت الذي تم فك تشفيره. يمكن للمهاجم التسبب في تعطل xfreerdp قبل إنشاء اتصال RDP من خلال تقديم ملف دعوة .msrcIncident وكلمة مرور مصممة خصيصاً.

يحدث تجاوز في ذاكرة التخزين المؤقت للكومة (heap buffer overflow) في الدالة `collect keys()` أثناء تعداد مفاتيح PKCS#11. يمكن للمهاجمين المحليين استغلال ذلك باستخدام رموز البطاقات الذكية التي تقدم أكثر من 64 كائن مفتاح عام عبر فتحات متعددة. يسمح هذا للمهاجم بالكتابة خارج مصفوفة المفاتيح الثابتة المكونة من 64 إدخالاً وتلف ذاكرة الكومة باستخدام بيانات `CKA ID` و `CKA LABEL` مخصصة أثناء عملية تسجيل الدخول بالبطاقة الذكية.

يفشل البرنامج في التحقق من أصل هندسة MS-RDPEGT الموقع المقدم من الخادم، حيث يقوم بتخزينه في إحداثيات سطح فيديو غير موقعة. يؤدي ذلك إلى التفاف blit clamp في الدالة `gdiVideoShowSurface()` في حسابات 32 بت وتجاوزها. يمكن لخادم RDP ضار إرسال `topLevelLeft` سالب إلى العملاء الذين يتصلون عبر نقطة النهاية `/video` مما يؤدي إلى إيقاف العميل أو كتابة خارج الحدود لبيانات صور H.264 التي تم فك تشفيرها.

An unauthenticated remote attacker can cause a denial of service (DoS) by triggering a heap buffer overflow. This occurs when the RainerScript `replace()` function incorrectly calculates the buffer size during string replacement while processing specially crafted syslog messages, resulting in memory corruption.

The Monitor subscription handler fails to properly authorize access to the configuration-key store. A CephX user with `mon allow r` capabilities can read the entire store by sending a crafted MMonSubscribe message. The configuration-key store contains sensitive secrets, such as OSD LUKS disk-encryption passphrases and the SSH private key used by cephadm to access hosts in the cluster. Under default cephadm configurations, this key provides root access to every node, allowing a low-privileged read-only account to achieve full cluster and host compromise.

توجد ثغرة لتجاوز المصادقة من جانب الخادم في عملية المصافحة RDSTLS عندما يتم تكوين الخادم باستخدام `RdstlsSecurity = TRUE`. تقوم عملية المصافحة بإرسال وحدات PDU الواردة بناءً على `pduType` التي يزودها المهاجم دون التحقق مما إذا كانت وحدة PDU مطلوبة للخطوة الحالية أم لا. ونظرًا لأن الكائن `rdpRdstls` يتم تعيين قيمته إلى صفر باستخدام calloc، فإن `resultCode` يكون افتراضيًا هو 0 (`RDSTLS RESULT SUCCESS`). يمكن لعميل بعيد غير مصدق عليه إرسال وحدة بيانات PDU خاصة بالقدرات (Capabilities) بدلاً من وحدة بيانات PDU المطلوبة لطلب المصادقة (Authentication Request). تُرجع الدالة `rdstls process capabilities()` نجاحًا دون تعيين `resultCode`، مما يؤدي إلى استجابة الخادم بـ `AUTHRSP` يحمل رمز نجاح ومعاملة الجلسة على أنها مصدقة دون التحقق من كلمات المرور أو معرّفات GUID لإعادة التوجيه أو ملفات تعريف الارتباط لإعادة الاتصال التلقائي.

يوجد تجاوز سعة المخزن المؤقت (buffer overflow) قائم على الـ«هيوب» (heap) في دالة `CliprdrStream Read()` الخاصة بعميل الحافظة في نظام Windows. تحدث المشكلة عندما يستدعي مستهلك اللصق OLE الدالة `IStream::Read` باستخدام مخزن مؤقت ثابت الحجم يبلغ `cb` بايت؛ ثم تقوم الدالة `CliprdrStream Read()` بنسخ الاستجابة من خادم RDP باستخدام الطول `req fsize` المقدم من الخادم بدلاً من القيمة `cb`. يمكن لخادم RDP المخترق إرسال استجابة `CB FILECONTENTS RESPONSE` ذات حجم زائد، مما يؤدي إلى كتابة خارج نطاق المسموح به لبيانات يتحكم فيها المهاجم في مخزن الذاكرة المؤقت الخاص بمستهلك اللصق أثناء عملية اللصق من الحافظة.

توجد ثغرة أمنية قائمة على تجاوز حدود الذاكرة (heap-based out-of-bounds) في الدالة `kerberos DecryptMessage()` الموجودة في الملف `winpr/libwinpr/sspi/Kerberos/kerberos.c`. تحدث هذه المشكلة لأن حقل EC (العدد الإضافي) المكون من 16 بت في رمز GSS Wrap المقدم من أحد الأقران يُستخدم في حسابات المؤشرات لتحديد مواقع المناطق المشفرة دون إجراء فحص مناسب للحدود. يمكن لأحد الأقران الضارين تقديم قيمة EC كبيرة أثناء مصادقة CredSSP/NLA، مما يتسبب في انتقال المؤشرات الأساسية لعملية فك التشفير إلى ما وراء نهاية مخزن الرمز المؤقت. ونظرًا لأن أنواع التشفير AES-CTS-HMAC تُجري عملية فك التشفير في مكانها قبل فحص سلامة HMAC، فإن هذا يؤدي إلى عمليات قراءة وكتابة خارج الحدود، مما قد يؤدي إلى كشف المعلومات أو تلف الذاكرة أو رفض الخدمة.

يعامل FreeRDP الأسطر التي تبدأ بشرطة مائلة في ملفات RDP على أنها خيارات سطر أوامر أولية، مما يعرض كامل واجهة محلل سطر الأوامر (CLI) لملفات غير موثوق بها. وهذا يسمح للمهاجمين باستخدام ملفات RDP ضارة تحتوي على خيارات مثل `/rdp2tcp` أو `/cert:ignore` أو `/drive` لتنفيذ أوامر عشوائية، أو تجاوز التحقق من صحة الشهادات، أو الكشف عن أنظمة الملفات المحلية دون تدخل من المستخدم.

يوجد تجاوز سعة المخزن المؤقت (buffer overflow) قائم على الـ«هيوب» (heap) في الدالة `crypto rsa common()` الموجودة في الملف `libfreerdp/crypto/crypto.c`. تحدث هذه المشكلة لأن الدالة تستخدم `BN bn2bin()` لكتابة نتيجة الأسي المعياري في مخزن الإخراج المؤقت قبل التحقق مما إذا كان `output length` يتجاوز `out length`. وعندما يتم تكوين الخادم باستخدام أمان RDP القياسي، يمكن لمهاجم بعيد غير مصدق عليه إرسال قيمة عشوائية مشفرة مصطنعة من جانب العميل. ونظرًا لأن الخادم ينشر مفتاحه العام RSA، يمكن للمهاجم تزوير نص مشفر يتم فك تشفيره إلى قيمة تصل إلى طول المودول الكامل (على سبيل المثال، 256 بايت لـ RSA-2048)، مما يؤدي إلى تجاوز سعة مخزن الذاكرة المؤقتة الثابتة البالغة 32 بايت بحوالي 224 بايت. وقد يؤدي ذلك إلى رفض الخدمة أو قد يسمح بتنفيذ تعليمات برمجية عشوائية.