リモートホストにインストールされている freerdp のバージョンは、2.11.7-1 より前です。したがって、ALAS2-2026-3840 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    制限されていないbind_ack max_xmit_fragによるフラグメント受信RPC TS ゲートウェイのヒープバッファオーバーフロー書き込み

    TS ゲートウェイ接続で、rpc->max_recv_frag は 0x0FF8 (4088) に初期化され、ReceiveFragment はそのサイズに割り当てられます。rpc_bind.c では、クライアントはサーバーから上限なしで rpc->max_recv_frag = header.bind_ack.max_xmit_frag を割り当てます。悪意のあるゲートウェイが、ReceiveFragment のサイズが決して変更されないのに max_xmit_frag = 0xFFFF を設定する可能性があります。

    後に、rpc_client.c は if (header.frag_length > rpc->max_recv_frag) を持つフラグメントを拒否します。両方の値が 65535 の場合、チェックに合格します (65535 > 65535 は偽)。次に、受信ループが rpc_channel_read() - BIO_read() を固定された 4088 バイトの ReceiveFragment に呼び出し、最大 65535 バイトを書き込み、最大 61447 バイトの攻撃者制御バイトをオーバーフローします。(CVE-2026-55193)

    容量の不一致による TS ゲートウェイRPC RESPONSE 再アセンブリでのヒープバッファオーバーフロー書き込みalloc_hint

    rpc_client_recv_fragment()では、PTYPE_RESPONSE PDUを再組み立てするとき、クライアントはサーバーが宣言したalloc_hintのみを使用してStream_EnsureCapacity(pdu->s, response->alloc_hint)を呼び出します。
    Stream_EnsureCapacity() は、現在の書き込みオフセットやコピーしようとしている実際のスタブ長を考慮せずに、既存の容量がすでに >= alloc_hint である場合に成功を返します。

    悪意のあるゲートウェイが、大きなフラグメント(frag_length = 6000、StubLength [?] 5968 を生成)を送信しながら、小さなalloc_hint(たとえば 100)を設定する可能性があります。4096 バイトの再アセンブリバッファは拡張されず、Stream_Write(pdu->s, ..., StubLength) は、ヒープ割り当ての終端を超えて攻撃者が制御するスタブデータをコピーします。デフォルトのビルドでは、これは WINPR_ASSERT によって中止される場合があります。Release ビルド(NDEBUG)では、アサートは省略され、オーバーフローは悪用可能なヒープ書き込みになります。

    これは、別の ReceiveFragment / bind_ack max_xmit_frag の問題(同じゲートウェイモジュール内で異なるバッファとコードパス)とは異なります。(CVE-2026-55194)

    細工されたグリフフラグメントを介した glyph_cache_get の領域外読み取り

    悪意のあるRDPサーバーが、グリフキャッシュを介してFreeRDPクライアントで領域外ヒープ読み取りを引き起こす可能性があります。
    glyph_cache_get() は、>= を使用する必要がある > でインデックスを境界チェックします -- 兄弟の glyph_cache_put() はすでに適切に処理しています。キャッシュのエントリ配列は正確に番号ポインターを保持するため、数値に等しいインデックスはチェックを通過して末尾を1スロット超えて読み取り、呼び出し元はこれをグリフとして逆参照します。これは CVE-2020-11098 の読み取り側の双子であり (書き込み側は 2.1.2 年に修正されましたが、読み取り側は修正されませんでした)、 3.25.0 とマスターにまだ存在します。(CVE-2026-55564)

    freerdp_image_copy_from_icon_data の整数オーバーフローが境界チェックをバイパスします(CVE-2026-55648)

    終端されていない DeviceName/VirtualChannelName(CVE-2026-57157)による、カメラデバイス列挙サーバー(rdpecam)における領域外読み取り

    planar_decompress_plane_rle_only:ヒープ OOB 読み取り -- に対する不完全な修正 CVE-2026-23530

    CVE-2026-23530(GHSA-r4hv-852m-fq7p)の修正は、freerdp_bitmap_decompress_planar のエントリポイントに Dimension guardsat を正しく追加しますが、scope.planar_decompress_plane_rle_onlyデリファレンスでは不完全です
    thatsrcp が SrcSize 内であることを検証する前の *srcp です。悪意のあるサーバーが、RDPGFX_CMDID_WIRETOSURFACE_1 の切り捨てられた RLE 平面ペイロードを介して、このパスに到達する可能性があります。(CVE-2026-57158)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : freerdp、--advisory ALAS2-2026-3840 (ALAS-2026-3840)

medium Nessus プラグイン ID 332057

バージョン 1.1