xrdp izlaida versiju 0.10.6.1, kas aizver desmit drošības caurumus un vienu regresiju. xrdp ir atvērtā koda RDP serveris. Ar to Windows attālās darbvirsmas klients pieslēdzas Linux datoram tā, it kā tas būtu Windows mašīna. Serveri lieto uz Linux darbstacijām, attālinātās piekļuves vārtejām un mākoņa instancēm, kurām vajag grafisku darbvirsmu. Daudzos izplatījumos xrdp ir pirmā izvēle, kad Linux mašīnai jāatbild uz standarta RDP protokolu, tāpēc labojums skar plašu instalāciju loku.
Desmit caurumi vienā laidienā ir liels skaits šim projektam. Tos pieteica kā atsevišķus GitHub drošības brīdinājumus. Lielāko daļu NVD publicēja 20. jūlijā. Smagākais no tiem neprasa attālinātu uzbrucēju. Pietiek ar parastu lietotāja kontu uz tā paša datora. CVE-2026-55626 saņēma CVSS vērtējumu 8,0, kas ir augsts līmenis.
Vietējais lietotājs var iekļūt cita sesijā
Kad xrdp sāk lietotāja sesiju ar Xvnc aizmuguri caur UNIX domēna ligzdu, Xvnc process startē ar nepietiekamu autentifikāciju. Rezultātā autentificēts lietotājs uz tā paša datora var skatīties vai vadīt citu lietotāju darbvirsmas sesijas. CVE-2026-55626 apraksts to saista ar diviem trūkumiem: CWE-306 (trūkstoša autentifikācija kritiskai funkcijai) un CWE-287 (nepareiza autentifikācija).
Uzbrukums attiecas tikai uz vienu konfigurāciju. xorgxrdp aizmugure un Xvnc caur TCP nav skartas. Uz koplietošanas serveriem, kur pie viena Linux resursdatora strādā vairāki cilvēki, tas tomēr nozīmē vienu lietu. Viens konts var noskatīties cita cilvēka ekrānu bez jebkāda brīdinājuma. Praksē tas var atklāt paroles, kuras lietotājs raksta, atvērtus dokumentus vai administratora sesiju. Vairāku lietotāju termināļu serveri ir tieši tā vide, kur xrdp mēdz strādāt, tāpēc šis caurums ir bīstamākais no visa laidiena.
Divi caurumi strādā attālināti bez paroles
Divi citi labojumi attiecas uz tīkla pusi. CVE-2026-41521 ir vesela skaitļa pārpilde vnc-any savienojuma režīmā. Šajā režīmā xrdp darbojas kā RDP priekšpuse patvaļīgam VNC serverim, uz kuru administrators norāda pats. Ja tas VNC serveris pieder uzbrucējam, tas nosūta viltotus attēla izmērus. Aprēķinot bufera izmēru, notiek pārpilde. Serveris piešķir par mazu atmiņas apgabalu, bet ienākošos attēla datus apstrādā pēc sākotnējiem, lielākajiem parametriem. Rezultāts ir lasīšana ārpus bufera robežām.
Neautentificēts attālināts uzbrucējs var nolasīt kaudzes atmiņas saturu vai apturēt procesu ar avāriju.
Otrs tīkla caurums, CVE-2026-55645, skar Client Control PDU apstrādi. RDP savienojuma secībā parseris nepārbauda garumu pirms lauku nolasīšanas no tīkla plūsmas. Sagatavota, apzināti apcirsta pakete liek serverim lasīt ārpus atmiņas robežām un rada pakalpojuma atteikumu. Šis caurums nostrādā pret jebkuru atklātu xrdp portu, arī pirms lietotājs ir pieteicies. Abi tīkla caurumi skar visas versijas līdz 0.10.6 ieskaitot. Standarta RDP ports 3389 uz publiska servera nozīmē, ka pakete var pienākt no jebkura interneta stūra.
Atklāti RDP porti jau ilgi ir automātisko skeneru mērķis. Uzbrucēji tos meklē masveidā, jo aiz tiem bieži atrodas darbstacija vai serveris ar administratora tiesībām. Pat ja šie divi caurumi dod tikai atmiņas nolasīšanu vai avāriju, nevis pilnu koda izpildi, kaudzes satura noplūde var atklāt sesiju atslēgas vai citus datus, kas noder nākamajam solim. Tāpēc atklātu xrdp serveri pēc atjaunināšanas vērts arī pārbaudīt žurnālos.
Klāt arī labojums avārijai pār TLS
Papildus caurumiem 0.10.6.1 labo regresiju, kas ienāca ar iepriekšējā laidiena drošības labojumu. xrdp avarēja ar segmentācijas kļūdu, kad savienojums gāja pār TLS (labojums #3793). Šī paša laidiena ietvaros PIV viedkaršu atbalsts pēc noklusējuma paliek izslēgts drošības apsvērumu dēļ. FreeBSD nepārtrauktās integrācijas testi pārcelti no Cirrus CI uz GitHub Actions.
Laidiena kandidāts 0.10.6.1-rc.1 parādījās 2. jūlijā. Stabilā versija sekoja dažu dienu laikā. Pilns saraksts ietver arī CVE-2026-41252, CVE-2026-44178, CVE-2026-42218, CVE-2026-44978, CVE-2026-54538, CVE-2026-55238 un CVE-2026-55639. Vairums no tiem ir atmiņas kļūdas parseros, kas apstrādā tīkla datus.
Ko darīt
Atjaunināt xrdp uz 0.10.6.1 vai jaunāku. Ja tas pagaidām nav iespējams, vērts pārskatīt konfigurāciju. CVE-2026-55626 skar tikai Xvnc caur UNIX domēna ligzdu, tāpēc pāreja uz xorgxrdp vai Xvnc caur TCP noņem šo konkrēto risku. vnc-any režīma pārpilde nostrādā tikai tad, ja xrdp savienojas ar neuzticamu VNC serveri, tāpēc uz iekšējiem, kontrolētiem VNC galamērķiem risks ir mazāks. Client Control PDU caurums darbojas pret jebkuru atklātu portu, tāpēc serveri, kas pieejami no interneta, jālabo pirmie. Ja atjaunināšana kavējas, RDP portu vērts noslēgt aiz VPN vai ugunsmūra.
Debian un Fedora pakotņu uzturētāji jau iekļāva labojumu savos atjauninājumos. Linux izplatījumu lietotāji saņems to caur parasto pakotņu pārvaldnieku. xrdp attīsta neutrinolabs komanda kopā ar brīvprātīgajiem. Projekts ir pieejams GitHub ar Apache 2.0 licenci. Kas nevar atjaunināties uzreiz, tam vismaz jāpārliecinās, ka RDP ports nav tieši sasniedzams no interneta.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.