Opensec-Intelligence

Um problema de use-after-free existe no canal dinâmico assíncrono rdpsnd. Um servidor RDP malicioso pode disparar o acesso a um callback liberado ao fechar o canal enquanto Protocol Data Units (PDUs) de áudio estão na fila. Ao enviar um PDU de treinamento e depois fechar o canal, a thread de reprodução pode ler o callback liberado na função `rdpsnd virtual channel write()`, resultando no travamento do cliente.

Um problema de use-after-free existe no rastreador DRDYNVC do freerdp-proxy durante a interceptação do canal drdynvc. Um servidor alvo malicioso pode causar a falha do processo proxy enviando repetidamente `CREATE REQUEST PDU` para um id de canal ativo, o que cria uma condição de corrida com o processamento de DATA para liberar um contexto emprestado.

A análise de entrada do peer RDP no lado do servidor não verifica se o corpo de seis bytes de um evento de entrada de caminho lento (slow-path) com um tipo de mensagem desconhecido está dentro do comprimento declarado do pacote. Isso causa uma falha de asserção de fluxo do WinPR. Um cliente RDP remoto com uma sessão ativa pode explorar isso enviando um evento de entrada desconhecido truncado para abortar processos do servidor com asserção habilitada, resultando em negação de serviço.

Um problema de negação de serviço existe no manipulador RDPGFX ALPHA WIRETOSURFACE 2. O componente falha ao validar dimensões de superfície zero, permitindo que um servidor RDP malicioso envie uma PDU (Protocol Data Unit) WIRETOSURFACE 2 manipulada com largura e altura zero. Esta ação desencadeia uma asserção ou divisão por zero, que encerra a sessão do cliente.

Um problema de use-after-free existe no canal de redirecionamento USB urbdrc. Isso ocorre porque a função `FindChannelById()` retorna um ponteiro de canal sem uma referência e o caminho de fechamento do canal de controle não adquire o `loading lock` do gerenciador de dispositivos. Um servidor RDP malicioso pode disparar isso enviando um CLOSE REQUEST do canal de controle enquanto o cliente anuncia um dispositivo USB, liberando o canal antes que a thread de anúncio leia `channel->Write`, resultando no travamento do cliente.

Um problema de negação de serviço existe na função `rdg process control packet()`. Um RD Gateway malicioso pode esgotar a CPU do cliente enviando um pacote de controle keepalive incompleto. Após completar a troca de abertura de túnel RDG, um invasor envia um cabeçalho de oito bytes com a variável `packetLength` definida como 0xFFFF e retém o corpo. Isso desencadeia um loop de leitura sem progresso e ilimitado, fazendo com que uma única thread do cliente consuma todos os recursos da CPU.

Existe um problema onde a função `rdpgfx on data received` rejeita apenas valores de status negativos de `zgfx decompress`, levando a um ponteiro de saída nulo sendo passado para `Stream StaticConstInit`. Isso permite que um servidor RDP malicioso encerre o cliente enviando um payload ZGFX de saída zero no canal RDPGFX após a ativação da sessão, resultando em um aborto de asserção do cliente.

Um problema de negação de serviço existe no servidor shadow, onde clientes RDP autenticados podem fazer com que as threads do servidor entrem em loop ao enviar PDUs (Protocol Data Units) DATA drdynvc de comprimento zero. Ao enviar mensagens DATA vazias nos canais `audin` ou `rdpgfx` abertos, a função `FreeRDP WTSVirtualChannelRead()` não as consome, resultando no consumo total dos núcleos da CPU até que a conexão seja encerrada.

Clientes compilados com asserções WinPR detalhadas contêm uma asserção alcançável na função `rts read auth verifier()`. Um invasor que controle um RD Gateway pode enviar uma PDU RTS RPC-over-HTTP manipulada com preenchimento de autenticação inconsistente para disparar essa asserção e abortar o processo do cliente que está se conectando.

Um problema de negação de serviço ocorre quando um DEVICE IOREQUEST de unidade malformado com um corpo IRP MJ CREATE truncado encerra silenciosamente o worker da unidade. Um servidor RDP malicioso pode explorar isso enviando tal IRP e, em seguida, postando solicitações adicionais que se acumulam sem limite na `IrpQueue`, resultando em exaustão de memória e perda de disponibilidade da sessão.

Existe um problema de negação de serviço onde a função `rdg process packet()` despacha um `PKT TYPE EXTENDED AUTH MSG` sem verificar o modo negociado ou o contexto de autenticação. Um Gateway de Área de Trabalho Remota (RD Gateway) malicioso ou comprometido pode enviar um pacote de autenticação estendida antes da autenticação do túnel, desencadeando uma desreferenciação de ponteiro nulo—uma condição em que o software tenta ler um local de memória que é nulo—o que resulta no travamento do cliente.

Existe um problema de negação de serviço onde servidores RDP maliciosos podem encerrar clientes compilados com asserções WinPR detalhadas. Isso ocorre quando o servidor envia retângulos de região RemoteFX manipulados, especificamente definindo a coordenada `x` como 65535 enquanto o destino SurfaceBits está à esquerda de 1. Essa sequência dispara uma asserção de coordenada de 16 bits na função `rfx process message()`, fazendo com que o processo do cliente seja abortado.

Existe uma falha de asserção no decodificador RemoteFX RLGR. Um servidor RDP malicioso pode enviar um tileset RemoteFX contendo o código RLGR 32767, o que dispara uma asserção de estreitamento assinado na função `rfx rlgr decode()`, resultando no fechamento inesperado do cliente.

Existe uma falha de asserção no decodificador diferencial RemoteFX quando as asserções verbosas do WinPR estão habilitadas. Um servidor RDP malicioso pode disparar isso enviando um tile RemoteFX manipulado onde os coeficientes LL3 adjacentes somam além da faixa de 16 bits com sinal, resultando no encerramento do processo do cliente.

Existe um vazamento de descritor de arquivo na função `parallel process irp create()`. Isso ocorre quando o sistema falha em fechar descritores anteriores durante solicitações repetidas de IRP MJ CREATE. Um servidor RDP malicioso com redirecionamento de dispositivo paralelo habilitado pode explorar isso enviando solicitações CREATE repetidas para esgotar a tabela de descritores do cliente, resultando no travamento do processo.

Ocorre uma desreferenciação de ponteiro NULL quando um servidor RDP malicioso envia um PDU RDPGFX ResetGraphics de largura zero. Isso causa uma falha no redimensionamento na função `gdi resize ex()`, que deixa o visor primário nulo sem encerrar a sessão. Consequentemente, uma atualização de bitmap posterior provoca a falha do cliente na função `gdi Bitmap Paint()`.

Um problema de alocação de memória existe na função `rdg receive packet()`. Um RD Gateway malicioso pode causar exaustão de memória pré-autenticação e negação de serviço ao enviar um cabeçalho RDG de oito bytes que declara um comprimento de pacote de `0x7FFFFFFF`, forçando o cliente a alocar 2 GiB de memória antes que a autenticação do túnel ocorra.

Um problema de negação de serviço existe na função `rdpdr dump packet()`. Um servidor RDP malicioso pode fazer com que os clientes abortem o envio de anúncios de lista de dispositivos RDPDR malformados. Isso ocorre quando um invasor especifica um `DeviceDataLength` que excede o pacote recebido, disparando uma asserção fatal Stream Seek. Esta condição ocorre quando o redirecionamento de dispositivo, o log TRACE e as asserções WinPR estão habilitados.

Quando compilado com `WITH AAD=ON`, o analisador de resposta do gateway ARM não valida adequadamente o campo `redirectedServerCert`. Se este campo estiver ausente ou não for uma string, o analisador passa um buffer nulo para o analisador de certificados, disparando uma asserção alcançável. Um gateway malicioso ou malformado selecionado pelo usuário pode explorar esse comportamento para abortar o processo do cliente.

Existe um problema onde o software falha ao limitar o `OutputBufferLength` em solicitações IRP (I/O Request Packet) de controle de dispositivo serial. Um servidor malicioso utilizando redirecionamento serial pode enviar uma solicitação `IRP MJ DEVICE CONTROL` com `IOCTL USBPRINT GET 1284 ID` e um comprimento próximo ao máximo, o que desencadeia a alocação excessiva de memória e pode esgotar a memória do cliente.