Uma vulnerabilidade de execução remota de código (RCE) foi descoberta no servidor xrdp, componente usado em soluções como o Kaspersky USB Redirector. A falha, identificada como CVE-2025-68670, permite que atacantes executem código arbitrário sem necessidade de credenciais válidas.
Descoberta e escopo da vulnerabilidade
A falha existe na função xrdp_wm_parse_domain_information, que processa o nome de domínio salvo no servidor em UTF-8. A exploração ocorre antes da autenticação do cliente, permitindo que um atacante não autenticado inicie o ataque.
Análise técnica detalhada
O problema está relacionado a um transbordamento de buffer na pilha. O servidor converte dados Unicode de UTF-16 para UTF-8 antes de salvá-los. Se o nome de domínio enviado pelo cliente for suficientemente longo após a conversão, ele pode exceder o tamanho do buffer de 256 bytes, sobrescrevendo o endereço de retorno.
Vetor e exploração
Para explorar essa vulnerabilidade, o atacante precisa especificar um nome de domínio que, após ser convertido para UTF-8, contenha mais de 256 bytes entre o sublinhado inicial e o sublinhado duplo subsequente. Isso é alcançável explorando as diferenças de tamanho entre UTF-16 e UTF-8.
Evidências e limites
Embora a função vulnerável possa ser protegida por um canário de pilha via configurações do compilador, isso não é uma solução definitiva. Um atacante pode potencialmente vazar ou adivinhar o valor do canário, permitindo a exploração mesmo com essa proteção.
Impacto e alcance
O xrdp é amplamente utilizado em ambientes Linux para acesso remoto. A vulnerabilidade afeta versões anteriores à correção, incluindo 0.10.5, 0.9.27 e 0.10.4.1. A falta de autenticação prévia torna a exploração particularmente perigosa.
Medidas de mitigação recomendadas
Os mantenedores do projeto recomendam atualizar para as versões corrigidas imediatamente. Administradores devem revisar suas configurações de compilação para garantir que proteções de pilha estejam habilitadas, embora a atualização seja a única mitigação confiável.
Conclusão
A descoberta e correção rápida desta vulnerabilidade demonstram a importância de auditorias de segurança contínuas em projetos de código aberto. CISOs devem priorizar a atualização de servidores xrdp para mitigar riscos de RCE não autenticada.