Keensecuritylab

Um problema de use-after-free existe onde servidores RDP maliciosos podem corromper a memória do cliente. Isso ocorre quando o manipulador RDPGFX ResetGraphics é colocado em corrida com o decodificador de bitmap planar. Ao enviar ResetGraphics simultaneamente com bitmaps comprimidos de 32 bpp (bits por pixel) ou mais, um invasor pode desencadear um use-after-free de heap ou leitura/escrita fora dos limites em buffers planares compartilhados.

Um problema de use-after-free existe no caminho de desconexão do canal estático rdpsnd. Isso ocorre quando os formatos de áudio e o dispositivo são liberados sem a junção do `play thread` (um thread responsável pela reprodução de áudio). Um servidor RDP malicioso pode desencadear isso ao desconectar enquanto a reprodução assíncrona Wave2 processa PDUs (Protocol Data Units, que são as unidades básicas de dados transmitidas por uma rede) enfileiradas, levando o cliente a ler a memória heap liberada e travar.

Existe uma gravação fora dos limites do heap no codec planar. O problema ocorre porque a função `freerdp bitmap planar context reset()` confirma novas dimensões antes que a realocação do buffer seja bem-sucedida, e uma falha no ResetGraphics é apenas registrada em log. Um servidor RDP malicioso pode explorar isso enviando um PDU ResetGraphics superdimensionado, seguido por um comando GFX PLANAR, para corromper a memória heap do cliente e causar a falha do sistema.

Existe uma gravação fora dos limites no componente de proxy devido à validação inadequada do valor `numCellCaches` na função `rdp read bitmap cache v2 capability set()`. Embora a função rejeite apenas valores acima de 5, a matriz de células do cache de bitmap v2 é posteriormente acessada em índices fixos de 0 a 4. Um cliente que se conecta ao proxy pode declarar menos de cinco caches de células durante a fase Confirm Active, resultando em corrupção de heap, vazamento de dados do heap para o backend ou falha do sistema.

Um problema de use-after-free existe no canal virtual dinâmico rdpgfx do cliente. Isso ocorre quando um canal com nome duplicado e um novo `ChannelId` sobrescreve o único slot de callback do listener, que a função `rdpgfx on close()` libera sem limpar. Um servidor RDP malicioso pode explorar isso abrindo e fechando tal canal e, em seguida, enviando uma Unidade de Dados de Protocolo (PDU) no canal original, podendo causar a falha do cliente ou a execução de código arbitrário.

Existe uma gravação fora dos limites do heap no cliente RDPGFX. O problema ocorre porque o callback `delete surface()` trunca as chaves de hash de superfície para 16 bits, tornando a tabela de superfícies inconsistente. Consequentemente, a função `HashTable GetKeys()` escreve além dos limites do seu array de chaves alocado. Um servidor RDP malicioso ou um atacante man-in-the-middle pode explorar isso criando um `surfaceId` 0xFFFF, fechando o canal RDPGFX, enviando PDUs DELETESURFACE repetidamente e, em seguida, enviando ENDFRAME ou RESETGRAPHICS.

Um estouro de buffer baseado em heap existe no cliente RPC do RD Gateway. O problema ocorre na função `rpc client recv fragment()`, que grava fragmentos BIND ACK e ALTER CONTEXT RESP em um fluxo PDU (Protocol Data Unit) persistente. A função valida incorretamente o buffer ao verificar apenas a capacidade total em vez da capacidade restante a partir da posição atual do fluxo. Um RD Gateway malicioso ou comprometido pode enviar fragmentos RPC manipulados com valores `alloc hint` e `frag length` alterados para sobrescrever a memória heap do cliente com dados controlados pelo invasor, podendo causar um travamento ou a execução de código arbitrário.

Ocorre um double free na função `retrieveSomeTgt()` do WinPR Kerberos SSPI. Isso acontece quando o realm padrão do krb5 é instalado em um principal de destino que possui um realm vazio sem assumir a propriedade do mesmo. Clientes remotos não autenticados podem disparar isso enviando uma solicitação NLA/CredSSP u2u TGT manipulada, na qual o componente server-name contém o caractere '@', resultando na corrupção do heap e no travamento do processo do servidor.

Um problema de negação de serviço existe no adaptador `poll oneoff` do WASI preview 0 do wasmtime-wasi. O adaptador executa trabalho de host O(n) por assinatura sem consumir ou verificar o fuel, que é um mecanismo usado para limitar a quantidade de computação que um módulo convidado pode realizar. Módulos convidados maliciosos podem fornecer inúmeras assinaturas para desencadear computações de host de longa duração que ignoram os limites de fuel configurados.

Existe uma alocação de memória ilimitada no método `write zeroes` de `SinkOutputStream` dentro do `wasmtime-wasi` WASIp2, que é o fluxo padrão usado quando stdout/stderr não estão configurados. Um convidado WebAssembly malicioso pode solicitar gravações preenchidas com zeros excessivamente grandes, esgotando a memória do host e causando a negação de serviço.

Ocorre um estouro de buffer de pilha quando convidados maliciosos fornecem funções de callback async-model-component com tipos incorretos. Isso permite a gravação de aproximadamente 16KB na pilha nativa por meio de tipos de resultado de callback async não validados, o que pode ser usado para sobrescrever endereços de retorno, resultando no travamento do host ou na evasão do sandbox.

Um problema de negação de serviço existe na implementação wasi:http. Convidados podem fazer com que o host entre em pânico e trave a incorporação do host ao especificar um valor zero para a opção de solicitação `between-bytes-timeout`. Este valor é encaminhado diretamente para uma API Tokio, que dispara o pânico.

Ocorre uma leitura fora dos limites na função `func get ep desc()` dentro do canal URBDRC. O problema surge porque as matrizes de interface são indexadas por posição em vez do campo de protocolo `InterfaceNumber`. Um servidor RDP malicioso pode desencadear isso enviando uma mensagem SELECT CONFIGURATION manipulada com valores `InterfaceNumber` permutados, permitindo que o servidor leia além da memória heap alocada e cause a falha do cliente.

Ocorre uma leitura fora dos limites na função `rdpdr dump packet()` devido a um erro de estouro (wraparound) de inteiro não assinado de 32 bits na validação dos limites do buffer. Um servidor RDP malicioso pode enviar um pacote RDPDR manipulado com a variável `computerNameLen` definida como 0xFFFFFFF0 para ignorar as verificações de limite. Isso permite a leitura de memória além do buffer do pacote, podendo causar falhas no cliente ou a exposição de memória heap nos logs.

Existe uma falha de bypass de autorização no mecanismo de correspondência de glob da allowlist de execução. Este problema permite que chamadores de menor confiança executem ações além de sua autorização pretendida ao criar caminhos de entrada que atravessam os padrões de glob da allowlist, permitindo a execução ou persistência de ações não autorizadas quando o recurso afetado está habilitado.

Existe uma falha de bypass de autorização no mecanismo de despacho de comandos de habilidade (skill command dispatch). Este problema permite que chamadores com menor nível de confiança executem ou persistam ações que excedem seus níveis de autorização pretendidos. Quando o recurso afetado está habilitado e acessível, atacantes podem ignorar as restrições de política de ferramentas através de caminhos de entrada configurados para realizar ações não autorizadas.

Existe uma falha de bypass de autorização na rota browser act devido à validação inadequada das verificações de URL da aba atual. Isso permite que atacantes com acesso de menor confiança ou caminhos de entrada configurados executem ações que exigem verificações de política ou autorização mais rigorosas.

Existe um problema nas rotas de snapshot do navegador onde os destinos pós-navegação não são validados adequadamente. Isso permite que atacantes com acesso de baixa confiança realizem Server-Side Request Forgery (SSRF)—uma técnica onde o servidor é forçado a fazer requisições não autorizadas—para ignorar verificações de política e acessar destinos de rede restritos.

Um problema de bypass de hook existe onde comandos de habilidade roteados através de um caminho de despacho específico ignoram a cobertura do `runBeforeToolCallHook`. Isso permite que atacantes enviem comandos de habilidade através do caminho afetado para burlar mecanismos de auditoria e aplicação de políticas baseados em hooks. O impacto depende da configuração do operador e se entradas de menor confiança podem alcançar o caminho vulnerável.

A validação insuficiente de escopo no escopo de gravação da Active Memory permite que operadores de Gateway com acesso `operator.write` modifiquem a configuração global. Esta escalada de privilégios permite que usuários apliquem alterações de configuração não autorizadas sem a necessidade de privilégios `operator.admin`.