1121984919

Fraquezas na validação de identidade de certificados TLS ocorrem nas funções `tls verify certificate()`, `tls match hostname()` e `x509 utils get dns names()`. O software utiliza correspondência de string personalizada para Common Name e DNS SAN em vez de usar as APIs de validação de identidade cientes de comprimento do OpenSSL. Isso resulta em três problemas: valores de DNS SAN são truncados em bytes NUL incorporados, um Common Name correspondente é aceito mesmo quando existem entradas de DNS SAN não correspondentes, e alvos de literal de IP são aceitos via correspondência DNS/CN sem comparar os SANs de iPAddress. Um invasor com uma cadeia de certificados confiável ou mal emitida pode ignorar a verificação de identidade do servidor, comprometendo a autenticação do servidor TLS.

Ocorre uma desreferência de ponteiro nulo nos decodificadores de requisição de cache de cartão inteligente quando aceitam ponteiros NDR nulos para `LookupName` durante as operações `SCARD IOCTL READCACHEA` e `SCARD IOCTL WRITECACHEA`. Se a emulação de cartão inteligente estiver habilitada, um invasor pode enviar requisições de cache de cartão inteligente manipuladas com ponteiros de nome de pesquisa nulos para acionar a função `strlen()` em um ponteiro nulo, resultando no encerramento do processo do cliente.

Um problema de heap use-after-free no lado do cliente existe no proxy de mensagem de atualização assíncrona para RAIL WINDOW STATE ORDER e NOTIFY ICON STATE ORDER quando o AsyncUpdate está habilitado. Um servidor RDP malicioso ou comprometido pode enviar ordens de atualização manipuladas, fazendo com que o proxy de mensagem realize uma cópia rasa (shallow-copy) de estruturas contendo ponteiros aninhados pertencentes ao parser, como `titleInfo.string`, `windowRects`, `visibilityRects` e buffers de ícones. Como o parser libera esses buffers aninhados após o retorno do callback, a mensagem assíncrona enfileirada despacha ponteiros obsoletos, o que pode causar corrupção de memória ou a falha do cliente.

Ocorre uma validação inadequada do propósito de Uso Estendido de Chave (EKU) durante a autenticação TLS do servidor no lado do cliente. Na função `x509 utils verify()`, quando a verificação de propósito do servidor (X509 PURPOSE SSL SERVER) falha, o código retorna incorretamente para a verificação de propósito do cliente e de qualquer propósito. Isso permite que um certificado confiável, com correspondência de nome de host, mas válido apenas para autenticação de cliente, seja aceito como um certificado de servidor RDP, ignorando a validação de propósito em ambientes que utilizam a separação de EKU entre certificados de cliente e servidor.

Um problema de negação de serviço ocorre quando o redirecionamento de dispositivo serial está habilitado. Uma solicitação IRP MJ DEVICE CONTROL controlada pelo servidor que especifica um IOCTL não suportado com um `OutputBufferLength` diferente de zero pode fazer com que a função `CommDeviceIoControl()` falhe com `BytesReturned` igual a 0. Essa divergência dispara uma asserção alcançável `WINPR ASSERT(OutputBufferLength == BytesReturned)` dentro da função `serial process irp device control()` localizada em channels/serial/client/serial main.c, resultando no encerramento do processo do cliente.

A validação insuficiente de caminhos RDPDR fornecidos pelo servidor durante o redirecionamento de unidade permite que um servidor RDP malicioso acesse caminhos de prefixos irmãos fora da raiz compartilhada configurada. Ao enviar caminhos não enraizados que ignoram a verificação de limite da raiz compartilhada, um invasor pode ler, gravar, excluir e enumerar arquivos em diretórios irmãos.

Um problema de negação de serviço existe no manipulador de canal de servidor RDPEI. O componente falha ao validar o comprimento máximo do corpo da PDU (Protocol Data Unit) antes da alocação do fluxo. Um cliente RDP malicioso pode forçar a alocação excessiva de memória no servidor enviando uma mensagem RDPEI apenas com o cabeçalho e um comprimento de corpo declarado elevado.

Existe um problema de validação inadequada do nome do host do certificado onde o correspondente de nome de host TLS `tls match hostname()` em libfreerdp/crypto/tls.c lida incorretamente com padrões de curinga. Especificamente, um padrão como *.example.com é tratado como correspondente a qualquer nome de host que termine em .example.com, permitindo que certificados de curinga sejam aceitos para subdomínios de múltiplos rótulos, como a.b.example.com. Este comportamento enfraquece a autenticação do servidor TLS.

Ocorre uma validação insuficiente de caracteres CRLF e de controle no campo `TargetNetAddress` de redirecionamento RDP controlado pelo servidor. Este valor é atribuído ao `ServerHostname` do cliente e, subsequentemente, é gravado na linha de requisição CONNECT do proxy e no cabeçalho Host pela função `http proxy connect()` sem filtragem ao conectar-se por meio de um proxy HTTP. Um servidor RDP comprometido ou malicioso pode enviar uma PDU (Protocol Data Unit) de redirecionamento manipulada contendo caracteres de controle incorporados para injetar cabeçalhos ou requisições arbitrárias na requisição CONNECT do proxy HTTP.

Uma leitura fora dos limites do heap (heap out-of-bounds read) existe nas funções `update process glyph fragments()` e `glyph cache fragment put()` em libfreerdp/cache/glyph.c. O problema ocorre durante o processamento de uma atualização GLYPH FRAGMENT ADD, onde o sistema lê um tamanho de fragmento declarado de um byte controlado pelo servidor, mas não verifica se ele cabe no buffer recebido restante antes da alocação e cópia. Um servidor RDP malicioso pode explorar isso enviando um fragmento curto com um tamanho declarado excessivo, fazendo com que o cliente leia além do buffer alocado, resultando em falha do sistema (crash).

Um estouro de buffer de heap existe no manipulador de canal RAIL do lado do servidor. O problema ocorre na função `rail server handle messages()` em `channels/rail/server/rail main.c` ao processar um cabeçalho RAIL PDU. O software subtrai `RAIL PDU HEADER LENGTH` do campo `orderLength` controlado pelo peer sem verificar se o `orderLength` é pelo menos do tamanho do cabeçalho. Se o `orderLength` estiver entre 0 e 3, ocorre um underflow de inteiro sem sinal, resultando em um tamanho muito grande que ignora a verificação de capacidade `Stream EnsureRemainingCapacity()` devido ao wraparound de aritmética de ponteiros. Esse valor é então passado para `WTSVirtualChannelRead()`, resultando em uma gravação de heap fora dos limites. Um cliente RDP malicioso ou comprometido pode explorar isso para corromper o heap e travar o servidor.

Ocorre uma leitura fora dos limites do heap no decodificador TSMF FFmpeg ao analisar tipos de mídia AVC1 MPEG2VIDEOINFO que possuem `ExtraData` insuficiente. Um invasor remoto pode causar a interrupção do sistema ao enviar dados de formato de mídia malformados a partir de um servidor, fazendo com que o sistema leia offsets fixos sem validar o comprimento do buffer de origem.

A função `WindowsViewer.get command()` constrói um comando de shell cmd.exe ao incorporar um caminho de arquivo em uma f-string sem a devida filtragem. O resultado é então passado para `subprocess.Popen(..., shell=True)`, o que permite a injeção de comandos arbitrários do cmd.exe por meio de metacaracteres de shell no caminho do arquivo.