Всего через три дня после выхода версии 3.29 проект FreeRDP выпустил версию 3.30 своей открытой реализации протокола Remote Desktop Protocol, устраняющей критические проблемы безопасности и ошибки.

Самое главное, разработчики сообщают, что обновление устраняет серьёзную проблему безопасности на стороне сервера, и настоятельно рекомендуют пользователям обновиться. Релизу сопутствуют три новых уведомления безопасности на GitHub, подготовленные Claude и Ada Logics.

Помимо устранения новых проблем безопасности, в обновлении реализованы более строгие проверки границ в нескольких компонентах FreeRDP, включая буфер обмена SDL, аудиоканал ввода Audin и звуковой канал rdpsnd.

Также в этой версии исправлена регрессия WebSocket из предыдущей версии и улучшена обработка версий протокола в основном компоненте и RDSTLS.

Ещё одно исправление касается реализации динамического виртуального канала drdynvc. Теперь FreeRDP корректно освобождает ссылку на канал при сбое отправки запроса на создание канала, что предотвращает некорректное удержание ссылки на объект.

Кроме того, FreeRDP 3.30 обновляет обработку информации для входа в систему и очищает код, связанный с захватом пакетов.

Основные изменения в этой версии:

  • Обновлена обработка информации для входа в систему
  • Исправлена регрессия WebSocket
  • Добавлены проверки границ в буфере обмена SDL
  • Улучшена обработка версий в ядре и RDSTLS
  • Исправлена обработка ссылок на каналы в drdynvc
  • Добавлены дополнительные проверки для Audin
  • Ужесточены проверки границ в rdpsnd
  • Очищен код, связанный с захватом пакетов

В связи с серьёзностью проблемы и рекомендациями разработчиков, пользователям и администраторам (особенно тем, кто использует серверные компоненты) следует обновиться до версии 3.30 сразу после появления пакетов в репозиториях своих дистрибутивов Linux.

Архивы с исходным кодом доступны на официальных серверах загрузки FreeRDP. Подробнее о релизе можно узнать в анонсе проекта.