CVE-2024-32658

FreeRDP: out-of-bounds read w klientach przed wersją 3.5.1

CVSS 9.8v3.1pub. 2024-04-23upd. 2025-11-03

Klienty FreeRDP w wersjach wcześniejszych niż 3.5.1 są podatne na odczyt poza granicami bufora (out-of-bounds read). Podatność otrzymała ocenę CVSS 9.8 i może zostać wykorzystana zdalnie bez uwierzytelnienia oraz interakcji użytkownika.

▸ Pokaż oryginał (EN)

FreeRDP is a free implementation of the Remote Desktop Protocol. FreeRDP based clients prior to version 3.5.1 are vulnerable to out-of-bounds read. Version 3.5.1 contains a patch for the issue. No known workarounds are available.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-125 polega na możliwości odczytu danych spoza przeznaczonego obszaru pamięci podczas przetwarzania danych protokołu RDP. Atakujący może dostarczyć specjalnie spreparowane dane do klienta FreeRDP, powodując nieautoryzowany odczyt pamięci procesu. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji po stronie ofiary.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w pamięci procesu, a w połączeniu z innymi podatnościami może doprowadzić do naruszenia integralności lub dostępności systemu.

Mitygacja

Należy zaktualizować FreeRDP do wersji 3.5.1, która zawiera patch rozwiązujący problem. Producent nie wskazuje żadnych znanych obejść (workarounds). W przypadku Fedory należy zastosować aktualizacje pakietów zgodnie z komunikatami opublikowanymi na listach Fedora.