Opensec-Intelligence

توجد مشكلة use-after-free في قناة rdpsnd الديناميكية غير المتزامنة. يمكن لخادم RDP خبيث تحفيز الوصول إلى callback تم تحريره عن طريق إغلاق القناة بينما تكون وحدات بيانات البروتوكول (PDUs) الصوتية في قائمة الانتظار. من خلال إرسال PDU تدريبي ثم إغلاق القناة، قد يقرأ خيط التشغيل الـ callback المحرر داخل الدالة `rdpsnd virtual channel write()`، مما يؤدي إلى تعطل العميل.

توجد مشكلة use-after-free في متعقب DRDYNVC الخاص بـ freerdp-proxy أثناء اعتراض قناة drdynvc. يمكن لخادم هدف ضار أن يتسبب في تعطل عملية البروكسي عن طريق إرسال `CREATE REQUEST PDU` بشكل متكرر لمعرف قناة نشط، مما يؤدي إلى حالة سباق مع معالجة DATA لتحرير سياق مستعار.

تفشل عملية تحليل إدخال نظير RDP من جانب الخادم في التحقق مما إذا كان جسم الحدث المكون من ستة بايتات في مسار الإدخال البطيء (slow-path) لنوع رسالة غير معروف يقع ضمن الطول المعلن للحزمة. يؤدي ذلك إلى فشل تأكيد تدفق WinPR. يمكن لعميل RDP عن بُعد لديه جلسة نشطة استغلال ذلك عن طريق إرسال حدث إدخال غير معروف ومبتور لإيقاف عمليات الخادم التي تم تمكين التأكيد فيها، مما يؤدي إلى حجب الخدمة.

توجد مشكلة في حجب الخدمة في معالج RDPGFX ALPHA WIRETOSURFACE 2. يفشل المكون في التحقق من أبعاد السطح الصفرية، مما يسمح لخادم RDP ضار بإرسال PDU (وحدة بيانات البروتوكول) WIRETOSURFACE 2 مصممة خصيصاً بعرض وارتفاع صفر. يؤدي هذا الإجراء إلى إثارة تأكيد (assertion) أو قسمة على صفر، مما يتسبب في إنهاء جلسة العميل.

توجد مشكلة use-after-free في قناة إعادة توجيه USB urbdrc. يحدث هذا لأن الدالة `FindChannelById()` تعيد مؤشر قناة بدون مرجع، ولا يقوم مسار إغلاق قناة التحكم بالحصول على `loading lock` الخاص بمدير الجهاز. يمكن لخادم RDP ضار استغلال ذلك عن طريق إرسال CLOSE REQUEST لقناة التحكم أثناء قيام العميل بالإعلان عن جهاز USB، مما يؤدي إلى تحرير القناة قبل أن تقرأ خيط الإعلان `channel->Write` وتسبب تعطل العميل.

توجد مشكلة في حجب الخدمة في الدالة `rdg process control packet()`. يمكن لبوابة RD Gateway خبيثة استنفاد وحدة المعالجة المركزية للعميل عن طريق إرسال حزمة تحكم keepalive غير مكتملة. بعد إكمال عملية فتح نفق RDG، يقوم المهاجم بإرسال رأس مكون من ثمانية بايت مع تعيين المتغير `packetLength` على 0xFFFF وحجب الجسم، مما يؤدي إلى حلقة قراءة غير محدودة وبدون تقدم، مما يتسبب في استهلاك خيط عميل واحد لكامل موارد وحدة المعالجة المركزية.

توجد مشكلة حيث تقوم الدالة `rdpgfx on data received` برفض قيم حالة `zgfx decompress` السالبة فقط، مما يؤدي إلى تمرير مؤشر إخراج فارغ (null) إلى `Stream StaticConstInit`. يسمح هذا لخادم RDP ضار بإنهاء العميل عن طريق إرسال حمولة ZGFX ذات إخراج صفري على قناة RDPGFX بعد تنشيط الجلسة، مما يؤدي إلى إجبار العميل على التوقف المفاجئ (assertion abort).

توجد مشكلة في رفض الخدمة في خادم shadow، حيث يمكن لعملاء RDP المصرح لهم جعل خيوط المعالجة (threads) في الخادم تدور في حلقة مفرغة عن طريق إرسال وحدات بيانات البروتوكول (PDUs) من نوع drdynvc DATA بطول صفر. من خلال إرسال رسائل DATA فارغة على قنوات `audin` أو `rdpgfx` المفتوحة، تفشل الدالة `FreeRDP WTSVirtualChannelRead()` في استهلاكها، مما يؤدي إلى استهلاك كامل أنوية وحدة المعالجة المركزية (CPU) حتى يتم قطع الاتصال.

تحتوي العملاء الذين تم بناؤهم باستخدام تأكيدات WinPR التفصيلية على تأكيد يمكن الوصول إليه في الدالة `rts read auth verifier()`. يمكن للمهاجم الذي يتحكم في بوابة RD إرسال وحدة بيانات بروتوكول RTS (PDU) عبر RPC-over-HTTP مصممة خصيصاً تحتوي على حشو مصادقة غير متسق لتفعيل هذا التأكيد وإيقاف عملية اتصال العميل.

توجد مشكلة تؤدي إلى حجب الخدمة حيث يتسبب طلب DEVICE IOREQUEST الخاص بمحرك أقراص مشوه يحتوي على جسم IRP MJ CREATE مبتور في إنهاء عامل محرك الأقراص بصمت. يمكن لخادم RDP ضار استغلال ذلك عن طريق إرسال هذا الـ IRP ثم إرسال طلبات إضافية تتراكم بلا حدود في `IrpQueue` مما يؤدي إلى استنفاد الذاكرة وفقدان توفر الجلسة.

توجد مشكلة تؤدي إلى حجب الخدمة حيث تقوم الدالة `rdg process packet()` بإرسال `PKT TYPE EXTENDED AUTH MSG` دون التحقق من الوضع المتفاوض عليه أو سياق المصادقة. يمكن لبوابة سطح المكتب البعيد (RD Gateway) خبيثة أو مخترقة إرسال حزمة مصادقة ممتدة قبل مصادقة النفق، مما يؤدي إلى إلغاء مرجع مؤشر فارغ (null-pointer dereference)—وهي حالة يحاول فيها البرنامج قراءة موقع في الذاكرة يكون فارغاً—مما يتسبب في تعطل العميل.

توجد مشكلة في حجب الخدمة تتيح لخوادم RDP الخبيثة إنهاء عمل العملاء الذين تم بناؤهم باستخدام تأكيدات WinPR التفصيلية. يحدث هذا عندما يرسل الخادم مستطيلات منطقة RemoteFX مصممة خصيصاً، وتحديداً من خلال تعيين الإحداثي `x` على 65535 بينما يكون وجهة SurfaceBits على يسار 1. يؤدي هذا التسلسل إلى تفعيل تأكيد إحداثيات 16 بت داخل الدالة `rfx process message()`، مما يتسبب في إيقاف عملية العميل.

يوجد فشل في التأكيد (assertion failure) في فك ترميز RemoteFX RLGR. يمكن لخادم RDP ضار إرسال مجموعة بلاطات RemoteFX تحتوي على رمز RLGR 32767، مما يؤدي إلى تفعيل تأكيد تضييق موقع مسبب (signed narrowing assertion) في الدالة `rfx rlgr decode()`، مما يتسبب في تعطل العميل.

يوجد فشل في التأكيد (assertion failure) في فك ترميز RemoteFX التفاضلي عندما تكون تأكيدات WinPR التفصيلية مفعلة. يمكن لخادم RDP ضار أن يتسبب في ذلك عن طريق إرسال بلاطة RemoteFX مصممة بحيث يتجاوز مجموع معاملات LL3 المتجاورة نطاق 16 بت الموقع، مما يؤدي إلى إيقاف عملية العميل.

يوجد تسريب في واصف الملف (file descriptor leak) في الدالة `parallel process irp create()`. يحدث هذا عندما يفشل النظام في إغلاق الواصفات السابقة أثناء طلبات IRP MJ CREATE المتكررة. يمكن لخادم RDP خبيث تم تفعيل إعادة توجيه الجهاز الموازي فيه استغلال ذلك عن طريق إرسال طلبات CREATE متكررة لاستنفاد جدول واصفات العميل، مما يؤدي إلى تعطل العملية.

يحدث إلغاء مرجع المؤشر NULL عندما يقوم خادم RDP ضار بإرسال PDU RDPGFX ResetGraphics بعرض صفر. يتسبب ذلك في فشل إعادة التحجيم في الدالة `gdi resize ex()`، مما يترك العرض الأساسي فارغاً (null) دون إنهاء الجلسة. ونتيجة لذلك، يؤدي تحديث خريطة البتات اللاحق إلى تعطل العميل في الدالة `gdi Bitmap Paint()`.

توجد مشكلة في تخصيص الذاكرة في الدالة `rdg receive packet()`. يمكن لبوابة RD خبيثة أن تتسبب في استنفاد الذاكرة قبل المصادقة وتعطيل الخدمة عن طريق إرسال رأس RDG مكون من ثمانية بايتات يعلن عن طول حزمة `0x7FFFFFFF` مما يجبر العميل على تخصيص 2 جيجابايت من الذاكرة قبل حدوث مصادقة النفق.

توجد مشكلة في رفض الخدمة في الدالة `rdpdr dump packet()`. يمكن لخادم RDP خبيث أن يتسبب في إيقاف العملاء عن طريق إرسال إعلانات قائمة أجهزة RDPDR مشوهة. يحدث هذا عندما يحدد المهاجم `DeviceDataLength` يتجاوز الحزمة المستلمة، مما يؤدي إلى تفعيل تأكيد Stream Seek قاتل. يتم استيفاء هذا الشرط عندما يكون إعادة توجيه الجهاز، وتسجيل TRACE، وتأكيدات WinPR مفعلة.

عند بناء البرنامج باستخدام `WITH AAD=ON` ، يفشل محلل استجابة بوابة ARM في التحقق بشكل صحيح من حقل `redirectedServerCert`. إذا كان هذا الحقل مفقودًا أو ليس سلسلة نصية ، يقوم المحلل بتمرير مخزن مؤقت فارغ (null buffer) إلى محلل الشهادات ، مما يؤدي إلى حدوث توكيد (assertion) يمكن الوصول إليه. يمكن لبوابة خبيثة أو مشوهة يختارها المستخدم استغلال هذا السلوك لإيقاف عملية العميل.

توجد مشكلة حيث يفشل البرنامج في تحديد سقف `OutputBufferLength` في طلبات IRP (حزمة طلب الإدخال/الإخراج) للتحكم في الجهاز التسلسلي. يمكن لخادم ضار يستخدم إعادة التوجيه التسلسلي إرسال طلب `IRP MJ DEVICE CONTROL` باستخدام `IOCTL USBPRINT GET 1284 ID` وبطول يقترب من الحد الأقصى، مما يؤدي إلى تخصيص مفرط للذاكرة وقد يتسبب في استنفاد ذاكرة العميل.