Keensecuritylab

توجد مشكلة use-after-free تتيح لخوادم RDP الخبيثة إتلاف ذاكرة العميل. يحدث هذا عند حدوث سباق بين معالج RDPGFX ResetGraphics وفك ترميز الخريطة النقطية المستوية (planar bitmap decoder). من خلال إرسال ResetGraphics بالتزامن مع خرائط نقطية مضغوطة بدقة 32 bpp (بت لكل بكسل) أو أكثر، يمكن للمهاجم التسبب في use-after-free في الذاكرة المكدسة (heap) أو قراءة/كتابة خارج الحدود في المخازن المؤقتة المستوية المشتركة.

توجد مشكلة use-after-free في مسار فصل قناة rdpsnd الثابتة. يحدث هذا عندما يتم تحرير تنسيقات الصوت والجهاز دون الانضمام إلى `play thread` (وهو خيط مسؤول عن تشغيل الصوت). يمكن لخادم RDP ضار أن يتسبب في ذلك عن طريق الفصل أثناء معالجة تشغيل Wave2 غير المتزامن لـ PDUs (وحدات بيانات البروتوكول، وهي الوحدات الأساسية للبيانات المنقولة عبر الشبكة) المجدولة، مما يؤدي إلى قراءة العميل لذاكرة heap المحررة وتوقفه عن العمل.

يوجد خطأ كتابة خارج حدود الذاكرة المكدسة (heap out-of-bounds write) في ترميز planar. تحدث هذه المشكلة لأن الدالة `freerdp bitmap planar context reset()` تعتمد أبعادًا جديدة قبل نجاح إعادة تخصيص الذاكرة المؤقتة، بينما يتم تسجيل فشل ResetGraphics في السجلات فقط. يمكن لخادم RDP ضار استغلال ذلك عن طريق إرسال وحدة بيانات بروتوكول (PDU) من نوع ResetGraphics بحجم زائد، ثم أمر GFX PLANAR، لتلف ذاكرة heap الخاصة بالعميل والتسبب في توقفه عن العمل.

توجد ثغرة كتابة خارج الحدود في مكون الوكيل (proxy) بسبب التحقق غير الصحيح من قيمة `numCellCaches` في الدالة `rdp read bitmap cache v2 capability set()`. بينما ترفض الدالة فقط القيم التي تزيد عن 5، يتم لاحقاً الوصول إلى مصفوفة خلايا ذاكرة التخزين المؤقت للبتات (bitmap cache v2) عند الفهارس الثابتة من 0 إلى 4. يمكن للعميل المتصل بالوكيل التصريح عن أقل من خمس خلايا تخزين مؤقت في مرحلة Confirm Active، مما يؤدي إلى فساد الذاكرة المكدسة (heap corruption)، أو تسريب بيانات الذاكرة المكدسة إلى النظام الخلفي، أو تعطل النظام.

توجد ثغرة من نوع use-after-free في القناة الافتراضية الديناميكية rdpgfx للعميل. يحدث هذا عندما تقوم قناة ذات اسم مكرر ومعرف قناة `ChannelId` جديد بالكتابة فوق فتحة استدعاء (callback slot) واحدة للمستمع، والتي تقوم الدالة `rdpgfx on close()` بتحريرها دون مسحها. يمكن لخادم RDP ضار استغلال ذلك عن طريق فتح وإغلاق مثل هذه القناة، ثم إرسال وحدة بيانات البروتوكول (PDU) عبر القناة الأصلية، مما قد يؤدي إلى تعطل العميل أو تنفيذ تعليمات برمجية عشوائية.

توجد ثغرة كتابة خارج حدود الذاكرة المكدسة (heap out-of-bounds write) في عميل RDPGFX. تحدث هذه المشكلة لأن استدعاء `delete surface()` يقوم بقص مفاتيح هاش السطح إلى 16 بت، مما يجعل جدول السطح غير متسق، وبالتالي تقوم دالة `HashTable GetKeys()` بالكتابة خارج مصفوفة المفاتيح المخصصة لها. يمكن لخادم RDP خبيث أو مهاجم في المنتصف (man-in-the-middle) استغلال ذلك عن طريق إنشاء `surfaceId` بقيمة 0xFFFF، وإغلاق قناة RDPGFX، وإرسال وحدات بيانات بروتوكول (PDUs) من نوع DELETESURFACE بشكل متكرر، ثم إرسال ENDFRAME أو RESETGRAPHICS.

يوجد تجاوز لسعة المخزن المؤقت المستند إلى heap في عميل RPC الخاص بـ RD Gateway. تحدث المشكلة داخل الدالة `rpc client recv fragment()`، التي تكتب أجزاء BIND ACK و ALTER CONTEXT RESP في تدفق PDU (وحدة بيانات البروتوكول) مستمر. تقوم الدالة بالتحقق من المخزن المؤقت بشكل خاطئ من خلال فحص السعة الإجمالية فقط بدلاً من السعة المتبقية من موضع التدفق الحالي. يمكن لـ RD Gateway خبيث أو مخترق إرسال أجزاء RPC مصممة خصيصاً بقيم `alloc hint` و `frag length` متلاعب بها للكتابة فوق ذاكرة heap للعميل ببيانات يتحكم فيها المهاجم، مما قد يؤدي إلى تعطل النظام أو تنفيذ رمز برمجي عشوائي.

يحدث خطأ double free (تحرير مزدوج للذاكرة) في دالة `retrieveSomeTgt()` الخاصة بـ WinPR Kerberos SSPI. يحدث هذا عندما يتم تثبيت realm الافتراضي لـ krb5 في principal مستهدف يحتوي على realm فارغ دون تملك ملكيته. يمكن للعملاء عن بُعد غير المصرح لهم تحفيز ذلك عن طريق إرسال طلب NLA/CredSSP u2u TGT مصمم خصيصاً يحتوي مكون server-name الخاص به على الرمز '@'، مما يؤدي إلى تلف الذاكرة (heap corruption) وتوقف عملية الخادم عن العمل.

توجد مشكلة حجب الخدمة في محول `poll oneoff` الخاص بـ WASI preview 0 في wasmtime-wasi. يقوم المحول بعمل مضيف O(n) لكل اشتراك دون استهلاك أو التحقق من الوقود (fuel)، وهو آلية تُستخدم للحد من كمية الحوسبة التي يمكن أن يقوم بها نموذج الضيف. يمكن لنماذج الضيف الخبيثة تمرير العديد من الاشتراكات لفرض عمليات حوسبة طويلة المدى على المضيف تتجاهل حدود الوقود المكونة.

يوجد تخصيص غير محدود للذاكرة في طريقة `write zeroes` الخاصة بـ `SinkOutputStream` ضمن `wasmtime-wasi` WASIp2، وهو التدفق الافتراضي المستخدم عندما لا يتم تكوين stdout/stderr. يمكن لضيف WebAssembly خبيث طلب عمليات كتابة ضخمة مملوءة بالأصفار، مما يؤدي إلى استنفاد ذاكرة المضيف وتسبب في حالة رفض الخدمة.

يحدث تجاوز في ذاكرة التخزين المؤقت للمكدس (stack buffer overflow) عندما يقوم ضيوف خبيثون بتوفير وظائف استدعاء async-model-component بأنواع خاطئة. يسمح هذا بكتابة حوالي 16 كيلوبايت في المكدس الأصلي عبر أنواع نتائج استدعاء async غير مصادق عليها، مما قد يؤدي إلى الكتابة فوق عناوين العودة، وتسبب تعطل المضيف أو الهروب من البيئة المعزولة (sandbox).

توجد مشكلة في رفض الخدمة في تنفيذ wasi:http. يمكن للضيوف التسبب في حدوث حالة ذعر (panic) للمضيف وتعطل تضمين المضيف عن طريق تحديد قيمة صفر لخيار الطلب `between-bytes-timeout`. يتم توجيه هذه القيمة مباشرة إلى واجهة برمجة تطبيقات Tokio، مما يؤدي إلى حدوث حالة الذعر.

An out-of-bounds read occurs in the `func get ep desc()` function within the URBDRC channel. The issue arises because interface arrays are indexed by position rather than by the protocol field `InterfaceNumber`. A malicious RDP server can trigger this by sending a crafted SELECT CONFIGURATION message with permuted `InterfaceNumber` values, allowing the server to read past allocated heap memory and cause the client to crash.

An out-of-bounds read occurs in the `rdpdr dump packet()` function due to a 32-bit unsigned integer wraparound during buffer bounds validation. A malicious RDP server can send a crafted RDPDR packet with the `computerNameLen` variable set to 0xFFFFFFF0 to bypass security checks. This allows memory reads beyond the packet buffer, which can lead to client crashes or the disclosure of heap memory in logs.

توجد ثغرة لتجاوز التفويض في آلية مطابقة أنماط «glob» لقائمة السماح بالتنفيذ. تتيح هذه المشكلة للمتصلين ذوي مستوى الثقة الأقل تنفيذ إجراءات تتجاوز نطاق التفويض المخصص لهم، وذلك عن طريق صياغة مسارات إدخال تتجاوز أنماط «glob» لقائمة السماح، مما يتيح تنفيذ أو استمرار إجراءات غير مصرح بها عند تمكين الميزة المتأثرة.

توجد ثغرة في آلية توزيع أوامر المهارات تسمح بتجاوز التفويض. تتيح هذه المشكلة للمتصلين ذوي مستوى الثقة الأقل تنفيذ أو استمرار إجراءات تتجاوز مستويات التفويض المخصصة لهم. عندما تكون الميزة المتأثرة مفعّلة وقابلة للوصول إليها، يمكن للمهاجمين تجاوز قيود سياسة الأداة عبر مسارات الإدخال المُعدة مسبقًا لتنفيذ إجراءات غير مصرح بها.

توجد ثغرة لتجاوز التفويض في مسار عمل المتصفح (browser act route) بسبب عدم صحة التحقق من عناوين URL لعلامة التبويب الحالية. وهذا يسمح للمهاجمين الذين يتمتعون بوصول ذي ثقة أقل أو الذين تم تكوين مسارات إدخال لهم بتنفيذ إجراءات تتطلب تفويضًا أقوى أو فحوصات سياسة أكثر صرامة.

توجد مشكلة في مسارات لقطات المتصفح حيث لا يتم التحقق من صحة وجهات ما بعد التنقل بشكل صحيح. وهذا يسمح للمهاجمين الذين يتمتعون بوصول ذي ثقة منخفضة بتنفيذ تزوير الطلبات من جانب الخادم (SSRF) — وهي تقنية يتم من خلالها إجبار الخادم على إرسال طلبات غير مصرح بها — لتجاوز فحوصات السياسات والوصول إلى وجهات الشبكة المقيدة.

توجد مشكلة في تجاوز آلية ”الهوك“ (hook)، حيث تتخطى أوامر المهارات التي يتم توجيهها عبر مسار إرسال محدد تغطية `runBeforeToolCallHook`. وهذا يسمح للمهاجمين بإرسال أوامر المهارات عبر المسار المتأثر لتجاوز آليات التدقيق القائمة على آلية ”الهوك“ وآليات فرض السياسات. يعتمد التأثير على تكوين المشغل وعلى ما إذا كانت المدخلات ذات الثقة المنخفضة يمكنها الوصول إلى المسار المعرض للخطر.

يؤدي عدم كفاية التحقق من نطاق الكتابة في «الذاكرة النشطة» (Active Memory) إلى السماح لمشغلي البوابة (Gateway) الذين يتمتعون بحق الوصول `operator.write` بتعديل التكوين العام. ويتيح هذا التصعيد في الامتيازات للمستخدمين تطبيق تغييرات غير مصرح بها على التكوين دون الحاجة إلى امتيازات `operator.admin`.