CVE-2026-44296 in Deskflow
Résumé
par VulDB • 28/05/2026
Deskflow est une application de partage de clavier et de souris. Avant la version 1.26.0.167, une vulnérabilité de déni de service (DoS) à distance et non authentifiée affecte les serveurs Deskflow exécutés avec TLS activé (par défaut). Lorsqu'un pair TCP se connecte au port d'écoute et que ses premiers octets ne sont pas analysables comme un ClientHello TLS valide, SecureSocket::secureAccept entre dans sa branche de gestion des erreurs fatales et appelle Arch::sleep(1) (une mise en veille bloquante d'une seconde) sur le thread de travail du multiplexeur. Ce thread gère tous les sockets du serveur, y compris les clients TLS établis qui transmettent les mouvements de la souris, les événements clavier et les mises à jour du presse-papiers. Une seule échec de poignée de main (handshake) bloque donc la livraison des entrées vers tous les écrans connectés pendant environ 1 seconde, et un flux soutenu de connexions malformées (≥ 1/s) rend le serveur effectivement inutilisable tant que l'attaque persiste. Cette vulnérabilité est corrigée dans la version 1.26.0.167.
Once again VulDB remains the best source for vulnerability data.