CVE-2026-26965

FreeRDP, Remote Desktop Protocol-un pulsuz tətbiqidir. Versiya 3.23.0-dan əvvəl, RLE planar dekodlaşdırma yolunda, `planar_decompress_plane_rle()` funksiyası `(nYDst+nSrcHeight)` dəyərinin hədəf hündürlüyünə və ya `(nXDst+nSrcWidth)` dəyərinin hədəf addımına (stride) uyğun olduğunu yoxlamadan `pDstData`-nın `((nYDst+y) * nDstStep) + (4*nXDst) + nChannel` ünvanına yazma aparır. `TempFormat != DstFormat` olduqda, `pDstData` `planar->pTempData` (iş masası üçün ölçülmüş) olur, halbuki `nYDst` yalnız `is_within_surface()` vasitəsilə səthə görə təsdiqlənir. Zərərli RDP serveri bundan istifadə edərək, qoşulan hər hansı FreeRDP klientində hücumçunun idarə etdiyi ofset və piksel məlumatları ilə heap-də sərhədlərdən kənar yazı (out-of-bounds write) həyata keçirə bilər. Sərhədlərdən kənar yazı müvəqqəti buferin sonundan 132,096 bayta qədər uzağa çatır və brk heap-də (iş masası ≤ 128×128), bitişik `NSC_CONTEXT` strukturunun `decode` funksiya göstəricisi hücumçunun idarə etdiyi piksel məlumatları ilə əvəz olunur — deterministik heap düzümü altında idarəetmə axınına təsir edən korrupsiya (funksiya göstəricisinin əvəzlənməsi) nümayiş etdirilmişdir (`nsc->decode = 0xFF414141FF414141`). Versiya 3.23.0 bu zəifliyi aradan qaldırır.