Davidkorczynski

Existe um problema onde a função `wasi poll oneoff()` em `core/iwasm/libraries/libc-wasi/libc wasi wrapper.c` valida o ponteiro de saída para apenas um `wasi event t`, enquanto a função `wasmtime ssp poll oneoff()` em `core/iwasm/libraries/libc-wasi/sandboxed-system-primitives/src/posix.c` pode gravar tantos eventos quanto o valor `nsubscriptions` controlado pelo convidado. Um módulo de convidado manipulado pode fornecer múltiplas inscrições que produzem eventos enquanto posiciona uma região de saída grande o suficiente para apenas um evento, fazendo com que uma gravação posterior ultrapasse o limite de memória linear Wasm validado para a memória heap do host adjacente. A sobreposição contém dados de evento parcialmente controlados pelo invasor e pode travar o processo do host, com consequências adicionais de confidencialidade ou integridade dependendo do layout do heap.

Existe um estouro de buffer baseado em pilha ao processar imagens compactadas em bzip2. Um invasor pode fornecer uma imagem especialmente criada usando compactação bzip2 para sobrescrever a memória da pilha durante o processo de decodificação, o que pode causar corrupção de memória ou falhas no sistema.

O decodificador de TIFF em blocos (tiled-TIFF) no módulo libImaging contém um problema de corrupção de memória. Ao processar imagens TIFF em blocos, a função ` decodeTile()` aloca um buffer com base no tamanho do bloco relatado pelo libtiff. No entanto, o loop de salto e cópia subsequente assume que o buffer tem, no mínimo, o tamanho do salto de linha multiplicado pelo comprimento do bloco. Se o libtiff retornar uma alocação de bloco menor do que esse tamanho esperado, a função `copy4()` executa um `memcpy` que lê além do buffer de heap alocado. Um invasor pode explorar isso fornecendo um arquivo TIFF especialmente criado, o que pode levar ao travamento do processo (negação de serviço) ou à exposição de dados adjacentes do heap nos pixels decodificados.

O decodificador JPEG do Pillow não verifica a largura de saída real e a contagem de componentes após uma solicitação de redimensionamento. Quando um aplicativo usa `draft()` ou `thumbnail()` para solicitar a redução de um JPEG SOF3 sem perdas de 8 bits, e o software está vinculado ao libjpeg-turbo 3.x, a geometria de redução solicitada pode ser ignorada. Isso ocorre porque a função `ImagingJpegDecode()` não compara as dimensões de saída do libjpeg com o tamanho do buffer alocado em ` setimage()`. Consequentemente, uma linha de varredura de largura total pode ser gravada em um buffer dimensionado para uma escala de rascunho menor, levando a uma corrupção de memória heap. Isso pode resultar no travamento do processo ou potencialmente permitir a execução de código arbitrário. O problema é desencadeado especificamente quando a largura e a altura da imagem têm pelo menos 1024 pixels e um fator de escala de 2 ou mais é selecionado.

Credenciais insuficientemente protegidas ocorrem quando a opção `/restricted-admin` falha em suprimir a delegação de credenciais CredSSP (Credential Security Support Provider). Isso resulta no envio da senha em texto claro para o servidor RDP. Um host de destino comprometido ou um agente man-in-the-middle pode decodificar `TSPasswordCreds` e a PDU (Protocol Data Unit) de Informações do Cliente para obter valores reutilizáveis de domínio administrativo, nome de usuário e senha.

O cliente não verifica se o `PROTOCOL RDSTLS` ou `PROTOCOL HYBRID EX` selecionado pelo servidor está no conjunto de protocolos habilitados na função `nego process negotiation response()`. Essa falha permite a redução do protocolo de segurança, possibilitando que um servidor malicioso ou um atacante man-in-the-middle selecione RDSTLS para anular a fixação `/sec:nla`. Consequentemente, o invasor pode concluir a autenticação com um cookie composto apenas por zeros e receber a senha em texto claro do usuário no Client Info PDU.

Um problema de validação inadequada de certificado existe na função `freerdp http request()` em libfreerdp/utils/http.c. Esta falha permite que handshakes TLS sejam concluídos sem verificar a cadeia de certificados do servidor. Um invasor on-path pode explorar isso para se passar por login.microsoftonline.com durante o fluxo de autenticação do Azure AD, permitindo a captura de códigos de autorização OAuth e a substituição do documento de descoberta OpenID.

O servidor shadow freerdp-shadow-cli não realiza uma verificação de intervalo no frame id dentro de um PDU de Reconhecimento de Quadro (Frame Acknowledge PDU) do cliente. Isso permite que a contagem de quadros em trânsito na função `shadow encoder inflight frames()` sofra um underflow. Um cliente autenticado pode desencadear isso ao reconhecer um frame id que seja um número maior do que o último quadro enviado, o que leva a um erro de divisão por zero (SIGFPE) na função `shadow encoder create frame id()`. Isso resulta na terminação do processo e na desconexão de todos os visualizadores.

Existe um problema na função `convert filedescriptors to file list()` em `winpr/libwinpr/clipboard/synthetic file.c`. O software não rejeita sequências `/` ou `..` ao concatenar valores `cFileName` fornecidos pelo servidor a partir de dados de área de transferência `FileGroupDescriptorW` no URI local `file://`. Isso permite que um servidor RDP malicioso use sequências de traversal de caminho para enganar o cliente, fazendo com que ele copie um arquivo local arbitrário legível pelo usuário durante a próxima operação de colar da área de transferência.

Existe uma leitura fora dos limites do heap na função de área de transferência WinPR `convert filedescriptors to file list()`. O problema ocorre quando a função verifica um `cFileName` do tipo `FILEDESCRIPTORW` controlado pelo servidor usando chamadas ` wcschr()` e `count special chars()` ilimitadas, sem a garantia de terminação NUL. Um servidor RDP malicioso pode disparar isso enviando um blob `FILEDESCRIPTORW` de comprimento ímpar em um `CB FORMAT DATA RESPONSE`, o que pode causar a falha de clientes X11, Wayland e SDL quando o usuário cola arquivos copiados do servidor.

Ocorre uma leitura fora dos limites do heap na função `freerdp assistance parse all elements of()`. Isso acontece porque o cursor de análise avança sem reduzir o comprimento restante, permitindo que a janela de varredura exceda o buffer `ConnectionString2` descriptografado. Um invasor pode causar a falha do xfreerdp antes que uma conexão RDP seja estabelecida ao fornecer um arquivo de convite .msrcIncident e uma senha especialmente manipulados.

Ocorre um estouro de buffer de heap na função `collect keys()` durante a enumeração de chaves PKCS#11. Atacantes locais podem explorar isso utilizando tokens de cartão inteligente que apresentem mais de 64 objetos de chave pública em vários slots. Isso permite que o atacante escreva além da matriz de chaves fixa de 64 entradas e corrompa a memória do heap usando dados `CKA ID` e `CKA LABEL` personalizados durante o processo de logon do cartão inteligente.

O software não verifica a origem da geometria MS-RDPEGT assinada fornecida pelo servidor, armazenando-a em uma coordenada de superfície de vídeo não assinada. Isso faz com que o blit clamp na função `gdiVideoShowSurface()` envolva em aritmética de 32 bits e seja ignorado. Um servidor RDP malicioso pode enviar um `topLevelLeft` negativo para clientes que se conectam através do endpoint `/video`, resultando no aborto do cliente ou em uma gravação fora dos limites de dados de imagem H.264 decodificados.

Um invasor remoto não autenticado pode causar a negação de serviço (DoS) ao desencadear um estouro de buffer de heap. Isso ocorre quando a função `replace()` do RainerScript calcula incorretamente o tamanho do buffer durante a substituição de strings ao processar mensagens de syslog especialmente manipuladas, resultando em corrupção de memória.

O manipulador de assinatura do Monitor falha ao autorizar adequadamente o acesso ao armazenamento de chaves de configuração. Um usuário CephX com capacidades `mon allow r` pode ler todo o armazenamento enviando uma mensagem MMonSubscribe manipulada. O armazenamento de chaves de configuração contém segredos sensíveis, como senhas de criptografia de disco OSD LUKS e a chave privada SSH usada pelo cephadm para acessar hosts no cluster. Sob as configurações padrão do cephadm, esta chave fornece acesso root a cada nó, permitindo que uma conta de leitura apenas com baixos privilégios consiga o comprometimento total do cluster e dos hosts.

Existe uma falha de bypass de autenticação no lado do servidor durante o handshake RDSTLS quando o servidor está configurado com `RdstlsSecurity = TRUE`. O handshake despacha PDUs de entrada com base no `pduType` fornecido pelo atacante sem verificar se o PDU é o exigido para a etapa atual. Como o objeto `rdpRdstls` é zerado via calloc, o `resultCode` assume o valor padrão 0 (`RDSTLS RESULT SUCCESS`). Um cliente remoto não autenticado pode enviar um PDU de Capabilities em vez do PDU de Solicitação de Autenticação exigido. A função `rdstls process capabilities()` retorna sucesso sem definir o `resultCode`, fazendo com que o servidor responda com um `AUTHRSP` contendo um código de sucesso e trate a sessão como autenticada sem avaliar senhas, GUIDs de redirecionamento ou cookies de reconexão automática.

Um estouro de buffer baseado em heap existe na função `CliprdrStream Read()` do cliente de área de transferência do Windows. O problema ocorre quando um consumidor de colagem OLE chama `IStream::Read` com um buffer de tamanho fixo de `cb` bytes; a função `CliprdrStream Read()` então copia a resposta do servidor RDP usando o comprimento fornecido pelo servidor `req fsize` em vez do valor `cb`. Um servidor RDP comprometido pode enviar um `CB FILECONTENTS RESPONSE` superdimensionado, resultando em uma gravação fora dos limites de dados controlados pelo invasor no buffer de heap do consumidor de colagem durante uma operação de colagem da área de transferência.

Uma vulnerabilidade de limite excedido (out-of-bounds) na memória heap existe na função `kerberos DecryptMessage()` dentro do arquivo `winpr/libwinpr/sspi/Kerberos/kerberos.c`. O problema ocorre porque o campo EC (extra count) de 16 bits de um token GSS Wrap fornecido por um peer é utilizado em aritmética de ponteiros para localizar regiões criptografadas sem a devida verificação de limites. Um peer malicioso pode fornecer um valor EC elevado durante a autenticação CredSSP/NLA, fazendo com que os ponteiros base da operação de descriptografia ultrapassem o final do buffer do token. Como os enctypes AES-CTS-HMAC realizam a descriptografia no local antes da verificação de integridade HMAC, isso resulta em operações de leitura e escrita fora dos limites, podendo levar à divulgação de informações, corrupção de memória ou negação de serviço.

O FreeRDP trata linhas que começam com uma barra diagonal em arquivos RDP como opções brutas de linha de comando, expondo toda a superfície do analisador de CLI a arquivos não confiáveis. Isso permite que atacantes utilizem arquivos RDP maliciosos contendo opções como `/rdp2tcp`, `/cert:ignore` ou `/drive` para executar comandos arbitrários, ignorar a validação de certificados ou expor sistemas de arquivos locais sem a interação do usuário.

Um estouro de buffer baseado em heap existe na função `crypto rsa common()` dentro do arquivo `libfreerdp/crypto/crypto.c`. O problema ocorre porque a função utiliza `BN bn2bin()` para gravar um resultado de exponenciação modular no buffer de saída antes de validar se `output length` excede `out length`. Quando o servidor está configurado com RDP Standard Security, um invasor remoto não autenticado pode enviar um valor aleatório de cliente criptografado manipulado. Como o servidor publica sua chave pública RSA, o invasor pode forjar um texto cifrado que descriptografa para um valor de até o comprimento total do módulo (por exemplo, 256 bytes para RSA-2048), estourando o buffer de heap fixo de 32 bytes em aproximadamente 224 bytes. Isso pode resultar em negação de serviço ou potencialmente permitir a execução de código arbitrário.