Skigeek16

توجد مشكلة في رفض الخدمة في خادم shadow، حيث يمكن لعملاء RDP المصرح لهم جعل خيوط المعالجة (threads) في الخادم تدور في حلقة مفرغة عن طريق إرسال وحدات بيانات البروتوكول (PDUs) من نوع drdynvc DATA بطول صفر. من خلال إرسال رسائل DATA فارغة على قنوات `audin` أو `rdpgfx` المفتوحة، تفشل الدالة `FreeRDP WTSVirtualChannelRead()` في استهلاكها، مما يؤدي إلى استهلاك كامل أنوية وحدة المعالجة المركزية (CPU) حتى يتم قطع الاتصال.

تحتوي العملاء الذين تم بناؤهم باستخدام تأكيدات WinPR التفصيلية على تأكيد يمكن الوصول إليه في الدالة `rts read auth verifier()`. يمكن للمهاجم الذي يتحكم في بوابة RD إرسال وحدة بيانات بروتوكول RTS (PDU) عبر RPC-over-HTTP مصممة خصيصاً تحتوي على حشو مصادقة غير متسق لتفعيل هذا التأكيد وإيقاف عملية اتصال العميل.

يوجد تجاوز في التحقق من التوقيع في آلية التحديث الذاتي المستقرة. يثق النظام بشكل خاطئ في مجموعات التحقق (checksums) الموجودة في بايتات غير موقعة تسبق كتلة SHA256SUMS الموقعة بواسطة PGP. يمكن للمهاجم الذي يتحكم في مسار توزيع الإصدار إضافة سطر مجموع تحقق غير موقع يتطابق مع أرشيف ضار، مما يؤدي إلى قيام عملية التحديث الذاتي بتثبيت ملف تنفيذي لبرنامج rclone يتحكم فيه المهاجم.

يوجد تجاوز في عدد صحيح (integer overflow) في محاسبة ذاكرة إعادة ترتيب الأجزاء المتعددة (multipart reorder-memory accounting) في تنفيذ خادم S3. تسمح هذه المشكلة بتجاوز حد التخزين المؤقت (buffer limit) الذي تم تكوينه. يمكن للمهاجم تفعيل ذلك عن طريق فتح طلبي PUT متزامنين للجزء الحالي بأطوال ضخمة، مما يؤدي إلى التفاف عداد `int64` الموقع. يؤدي هذا إلى الاحتفاظ بالأجزاء غير المرتبة في الذاكرة، مما قد يتسبب في استنفاد موارد المضيف.

يوجد خلل في تجاوز المصادقة في مزود Kubernetes Ingress-NGINX الذي يقوم بتمرير رؤوس `Ssl-Client-*` المقدمة من العميل على موجه HTTP النصي. عندما يتم تعطيل `ssl-redirect` مع تفعيل `auth-tls-pass-certificate-to-upstream` ، يمكن للمهاجمين غير المصرح لهم إرسال الرأس `Ssl-Client-Verify: SUCCESS` مع موضوع شهادة وجهة إصدار مختارة لانتحال هويات mTLS (أمن طبقة النقل المتبادل).

يوجد خلل في إلغاء مرجع المؤشر الفارغ (null-pointer dereference) في الواجهة الخلفية لمحاكاة البطاقة الذكية. يحدث هذا عندما يقبل النظام اسم قارئ فارغًا أثناء طلبات SCardGetStatusChange. يمكن لخادم RDP ضار أن يتسبب في تعطل عملية العميل عن طريق إرسال إدخال حالة قارئ مصمم خصيصًا يحتوي على متغير `szReader` فارغ، مما يؤدي إلى تعطل وظائف `strcmp()` أو ` wcscmp()`.

توجد مشكلة في التحقق غير السليم من الشهادات في مكون الوكيل (proxy). عندما لا يتم تكوين وحدة تحقق، يقبل الوكيل شهادات TLS غير موثوقة للهدف. يتيح ذلك للمهاجمين الموجودين على الشبكة اعتراض الاتصالات الصادرة من خلال تقديم شهادة موقعة ذاتياً باسم مضيف خاطئ، مما يمكنهم من انتحال صفة هدف RDP واستلام بيانات الجلسة الممررة عبر الوكيل.

توجد ثغرة كتابة خارج حدود الذاكرة المكدسة (heap out-of-bounds write) في مسار NTLM الخاص باستدعاء الهاش للخادم نتيجة الفشل في التحقق من إزاحة MIC. يمكن للمهاجم غير المصرح له استغلال ذلك عن طريق إرسال رسالة AUTHENTICATE MESSAGE مصممة خصيصاً تحتوي على إزاحة مفتاح جلسة وإزاحة MIC رجعية، مما يسمح بكتابة 16 بايت من الأصفار خارج نطاق الذاكرة المخصصة.

توجد مشكلة استهلاك غير منضبط للموارد في الدالة `parse nla mode pdu()`. يمكن للمهاجمين غير المصرح لهم استنفاد ذاكرة الخادم عن طريق إكمال TLS وبث بايتات لا تبدأ بعلامة DER SEQUENCE 0x30. يؤدي هذا الإجراء إلى نمو غير محدود في ذاكرة التخزين المؤقت للاستقبال قبل حدوث مصادقة مستوى الشبكة (NLA).

يحتوي عميل Windows RAIL على مشكلة قراءة خارج الحدود حيث يمكن لخوادم RDP الخبيثة تحفيز عمليات قراءة زائدة من الذاكرة المكدسة (heap over-reads) عن طريق إرسال عناوين نوافذ غير منتهية بـ NUL. يحدث هذا عندما يتم معالجة تحديث WINDOW ORDER FIELD TITLE كامل الطول بواسطة الدالة `wf rail window common()` وتمريره إلى `SetWindowTextW()`، مما قد يؤدي إلى تلف العناوين أو تعطل العميل.

يحدث خطأ في القراءة خارج حدود الذاكرة المكدسة (heap out-of-bounds read) في دالة `CliprdrStream New()` الخاصة بعميل Windows. يحدث هذا عندما يقوم خادم RDP ضار بإرسال استجابة قصيرة للحافظة لطلب FILECONTENTS SIZE عن طريق توفير قيمة `cbRequested` أقل من ثمانية بايتات عند قيام المستخدم بلصق ملف عن بُعد. يمكن أن يؤدي ذلك إلى عمليات قراءة غير صالحة للذاكرة، مما يتسبب في تعطل العميل أو تلف حجم التدفق.

توجد مشكلة في إعادة التجميع غير المحدود في الدالة `WTSProcessChannelData()`. يفشل النظام في فرض حدود الشظايا التراكمية، مما يسمح للعملاء المصرح لهم ببدء رسالة قناة افتراضية ثابتة وحجب علامة LAST. يتيح ذلك إرسال شظايا لا نهائية، مما قد يؤدي إلى استنفاد ذاكرة الخادم.

تقوم عملية تنفيذ `fetch()` في مكتبة عميل HTTP لـ Node.js بالتحقق من بيانات Subresource Integrity (SRI) الوصفية بشكل غير صحيح. تقوم المكتبة بمطابقة رمز الخوارزمية مع مجموعة من الأحرف الصغيرة فقط، مما يؤدي إلى اعتبار الرموز الصالحة المكتوبة بأحرف كبيرة أو مختلطة (مثل SHA256) غير معروفة وتجاهلها. عندما لا تتبقى خوارزميات معروفة، تعامل المكتبة قائمة النزاهة على أنها فارغة وتقبل الاستجابة بغض النظر عما إذا كان الجسم يطابق الملخص المثبت. يتيح ذلك للمهاجم الذي يتحكم في جسم الاستجابة تقديم بايتات خبيثة إلى تطبيق يستخدم رموز SRI غير مكتوبة بأحرف صغيرة دون حدوث خطأ في النزاهة.

توجد مشكلة في مكتبة عميل HTTP هذه لـ Node.js عندما يقوم Agent بدون أصل بتكوين معترضات إعادة التوجيه والتخزين المؤقت بهذا الترتيب المحدد مع استخدام مخزن ذاكرة مؤقتة مشترك. يقوم التخزين المؤقت بإنشاء مفتاحه من URL الطلب الأصلي قبل أن يقوم معالج إعادة التوجيه بتغيير الأصل، مما يؤدي إلى تخزين الاستجابات الناتجة عن إعادة توجيه عبر الأصل تحت المفتاح الأصلي. يمكن أن يؤدي ذلك إلى تسميم مستمر لذاكرة التخزين المؤقت إذا كان المهاجم يتحكم في هدف إعادة التوجيه من URL موثوق. بالإضافة إلى ذلك، قد يؤدي ذلك إلى الكشف عن بيانات خاصة إذا تم تخزين استجابة إعادة توجيه خاصة بمورد محدد للمستخدم تحت URL الأصلي وتقديمها لمتصلين غير مصرح لهم. تحدث هذه المشكلة فقط عند استخدام Agent بدون أصل، ومخزن ذاكرة مؤقتة مشترك، وتكوين إعادة التوجيه ثم التخزين المؤقت معاً.

يقوم خادم shadow بإرسال وحدات بيانات البروتوكول (PDUs) الخاصة بالإدخال أثناء حالة Confirm Active قبل إتمام عملية المصادقة. يسمح هذا للمهاجمين غير المصرح لهم بحقن إدخالات لوحة مفاتيح اصطناعية في جلسة X11 للمستخدم المضيف عبر XTEST، وذلك من خلال التفاوض على RDP بنظام TLS فقط وإرسال PDU إدخال بدون حالة Confirm Active.

توجد مشكلة حقن ترويسة HTTP في مكون الوكيل (proxy). يحدث هذا لأن حرف تغذية السطر (LF) المنفرد في جزء الهدف من رمز التوجيه، وتحديداً في الترويسة `Cookie: msts=`، لا يتم رفضه. تقوم الدالة `http proxy connect()` لاحقاً بكتابة هذا الحرف في سطر طلب CONNECT وترويسة Host. يمكن لعميل RDP عن بُعد غير مصرح له استغلال ذلك من خلال الاتصال بوكيل باستخدام `FixedTarget=false` ووكيل HTTP علوي (upstream) لتغيير هيكلة طلب وترويسة HTTP في ذلك الوكيل العلوي.

يوجد خلل في الاحتفاظ بالموارد في الدالة `drive process irp create()`. تحدث المشكلة عندما يتم تسجيل ملف محلي مفتوح في قاموس المحرك قبل تطبيق حجم التخصيص؛ وإذا فشلت عملية التخصيص، لا يتم إزالة الملف. يمكن لخادم RDP ضار استغلال ذلك عن طريق إرسال طلب IRP MJ CREATE مع تعيين المتغير `AllocationSize` على القيمة UINT64 MAX، مما يؤدي إلى فشل عملية البحث وتسريب كائن الملف ومقبض نظام التشغيل حتى يتم تفكيك المحرك.

يوجد تجاوز لسعة المخزن المؤقت المستند إلى heap في الدالة `freerdp dsp decode mp3()` عندما يتم بناء البرنامج باستخدام `WITH LAME=ON` و `WITH DSP FFMPEG=OFF`. تحدث المشكلة لأن مؤشر PCM للقناة اليمنى يتم إزاحته بواسطة عدد بايتات يتم التعامل معه كعناصر قصيرة. يمكن لخادم RDP ضار استغلال ذلك عن طريق إرسال صوت MP3 مصمم خصيصاً عبر rdpsnd، مما يؤدي إلى تجاوز العينات التي تم فك تشفيرها لتخصيص heap وتسبب في تعطل العميل.

تحدث عملية كتابة خارج حدود الذاكرة المكدسة (heap-based out-of-bounds write) في الدالة `freerdp interruptible get line()`. تظهر المشكلة عندما يتم تقليص المخزن المؤقت إلى 32 بايت مع الاحتفاظ بطول اسم المستخدم المقترح والمملوء مسبقًا كإزاحة للكتابة. يمكن لخدمة توجيه ARM خبيثة أو مخترقة إرسال `redirectedUsername` طويل يصل إلى مطالبة بيانات الاعتماد في واجهة سطر الأوامر (CLI)، مما يؤدي إلى تعطل العميل عندما يقوم المستخدم بإدخال البيانات.

يحدث إلغاء مرجع للمؤشر NULL في الدالة `arm handle request ok()` عندما يعيد نقطة نهاية ARM جسم HTTP 200 فارغًا. يمكن للمهاجم الذي يتحكم في بوابة ARM المكونة إرسال جسم بطول صفر، مما يؤدي إلى تمرير قيمة NULL إلى `strnlen()` وتسبب في تعطل العميل المتصل.