Amazon Linux 2 : freerdp、--advisory ALAS2-2026-3887 (ALAS-2026-3887)
critical Nessus プラグイン ID 341869
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされている freerdp のバージョンは、2.11.7-1 より前です。したがって、ALAS2-2026-3887 のアドバイザリに記載されている複数の脆弱性の影響を受けます。3.28.0より前のFreeRDPは、RDPファイル内のフォワードスラッシュで始まる行をrawコマンドラインオプションとして処理し、CLIパーサーサーサーフェス全体を信頼できないファイルにさらします。攻撃者が/rdp2tcp、/cert:ignore、または/driveオプションを使用して悪意のあるRDPファイルを作成し、ユーザーの操作なしで任意のコマンドを実行したり、証明書の検証をバイパスしたり、ローカルファイルシステムを公開したりする可能性があります。(CVE-2026-64624)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、tls_verify_certificate()、tls_match_hostname()、x509_utils_get_dns_names()に複数のTLS証明書ID検証の脆弱性があります。FreeRDP は、OpenSSL の長さ認識 ID 検証 API を使用する代わりにカスタムの共通名と DNS SAN 文字列の照合を実行するため、(1) DNS SAN の値を埋め込み NUL バイトで切り捨てます (例えば
「victim.example\0.attacker.example」を「victim.example」として受け入れる)、(2) 一致しない DNS SAN エントリが存在する場合でも一致する共通名を受け入れる、(3) iPAddress SAN を比較せずに DNS/CN 照合を介して IP リテラルターゲットを受け入れる。信頼できる証明書チェーンまたは誤って発行された証明書チェーンの下で、攻撃者がそのような証明書を提示する立場にある場合、サーバーの ID 検証をバイパスし、TLS サーバーの認証を弱体化させる可能性があります。
(CVE-2026-66402)
3.29.0より前のFreeRDPには、SCARD_IOCTL_READCACHEAおよびSCARD_IOCTL_WRITECACHEA操作でLookupNameのNULL NDRポインターを受け入れるスマートカードキャッシュリクエストデコーダーに、NULLポインターデリファレンスの脆弱性があります。スマートカードエミュレーションが有効な場合、攻撃者が細工されたスマートカードキャッシュリクエストを NULL ルックアップ名ポインターで送信し、NULL ポインター上で strlen() を発生させて、クライアントプロセスを終了させる可能性があります。(CVE-2026-67288)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)はCRLFを検証せず、サーバー制御のRDPリダイレクトTargetNetAddressフィールドの文字を制御します。この値はクライアントの ServerHostname にコピーされ、クライアントが HTTP プロキシ経由で接続する際、フィルタリングせずに http_proxy_connect() によってプロキシの CONNECT リクエスト行と Host ヘッダーに直接書き込まれます。悪意のある、または感染した RDP サーバーが、埋め込まれた制御文字を含む細工されたリダイレクト PDU を送信して、任意のヘッダー / リクエストを HTTP プロキシ CONNECT リクエストに注入する可能性があります。(CVE-2026-67289)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、libfreerdp/cache/glyph.cのupdate_process_glyph_fragments()/glyph_cache_fragment_put()にヒープの領域外読み取りが含まれています。GLYPH_FRAGMENT_ADD更新を処理するとき、コードは1バイトのサーバー制御で宣言されたフラグメントサイズを読み取りますが、そのバイト数の割り当てとコピーを行う前に、それが残りの受信バッファ内にあることを検証しません。悪意のあるRDPサーバーがオーバーサイズの宣言サイズを持つ短いフラグメントを送信し、クライアントに割り当てられたバッファを超えて読み取りをさせ、結果として領域外読み取りとクライアントクラッシュが発生する可能性があります。(CVE-2026-67291)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、不適切な証明書ホスト名検証の脆弱性が含まれています。TLSホスト名の照合機能(libfreerdp/crypto/tls.cのtls_match_hostname())は、*.example.com などのワイルドカードパターンを.example.com で終わるホスト名に一致するものとして扱うため、a.b.example.com のようなマルチラベルサブドメインのワイルドカード証明書を不適切に受け入れます(OpenSSLのX509_check_host()はこれを拒否します)。これにより、ワイルドカード証明書状態での TLS サーバー認証が弱体化します。
(CVE-2026-67293)
3.29.0より前のFreeRDPは、クライアント側のサーバー TLS認証中に、ピア証明書の拡張キー使用法(EKU)の目的を不適切に検証します。x509_utils_verify() で、server-purpose(X509_PURPOSE_SSL_SERVER)の検証が失敗すると、コードは client-purpose と any purpose の検証にフォールバックします。そのため、clientAuth に対してのみ有効な、信頼できるホスト名が一致する証明書が、RDP サーバー証明書として受け入れられます。これにより、クライアント証明書とサーバー証明書の間のEKU分離に依存する環境では、信頼できるCAが発行するclientAuthのみの証明書がサーバー証明書の目的検証をバイパスする可能性があります。(CVE-2026-67294)
3.29.0 より前の FreeRDP は、ドライブリダイレクトでサーバー指定の RDPDR パスを適切に検証できません。これにより、攻撃者が構成された共有ルート外のプレフィックス兄弟パスにアクセスすることが可能です。悪意のある RDP サーバーが、共有ルート境界検査をバイパスする非ルートパスを送信することで、兄弟ディレクトリ内のファイルを読み取り、書き込み、削除、列挙する可能性があります。(CVE-2026-67295)
3.28.0以前のFreeRDPバージョンでは、サーバーサイドRAILチャンネルハンドラー(channels/rail/server/rail_main.cのrail_server_handle_messages())にヒープバッファオーバーフローがあります。RAIL PDU ヘッダーを処理するとき、コードは最初に orderLength がヘッダーの長さ以上であることを検証せずに、ピア制御の orderLength フィールドから RAIL_PDU_HEADER_LENGTH を引きます。orderLength 値が 0..3 の場合、これにより非常に大きなサイズへの符号なし整数アンダーフローが発生します。これにより、Stream_EnsureRemainingCapacity() 容量チェックがバイパスされ(ポインター算術のラップアラウンドがあるため)、WTSVirtualChannelRead() に渡されるため、領域外ヒープ書き込みが発生します。悪意のある、または感染した RDP クライアントがこれを悪用して、ヒープを破損させてサーバーをクラッシュさせる可能性があります。FreeRDP 3.29.0で修正されました。(CVE-2026-67298)
3.29.0前のFreeRDPでは、AsyncUpdateが有効になっているとき(例:xfreerdp /async-update)、WINDOW_ICON_ORDERのの非同期更新メッセージプロキシにクライアント側のヒープuse-after-freeが含まれています。update_message_WindowIcon() では、浅い CopyMemory() が、新しく割り当てられた lParam->iconInfo をパーサー所有の windowIcon->iconInfo ポインターで上書きします。パーサーコールバックが返された後、update_recv_window_info_order()はwindow_icon.iconInfoを解放しますが、キューに入れられた非同期メッセージは保持され、後でその古いポインターをディスパッチします。悪意のある、または危険にさらされている RDP サーバーが細工された RAIL Window Alternate Secondary Order を WINDOW_ORDER_ICON とともに送信することで、use-after-free を発生させ、メモリ破損やクライアントのクラッシュを引き起こす可能性があります。(CVE-2026-67299)
3.29.0 より前の FreeRDP には、AsyncUpdate が有効な場合、RAIL WINDOW_STATE_ORDER および NOTIFY_ICON_STATE_ORDER 用の非同期更新メッセージプロキシにクライアント側のヒープ use-after-free の脆弱性が含まれています。悪意のある、または侵害されたRDPサーバーが細工された更新命令を送信すると、メッセージプロキシは、ネストされたパーサー所有のポインター(titleInfo.string、windowRects、visibilityRects、アイコンバッファなど)を含む構造を浅くコピーします。コールバックが返された後にパーサーがこれらのネストされたバッファを解放するため、キューに入れられた非同期メッセージが後で古いポインターをディスパッチし、メモリ破損やクライアントのクラッシュを引き起こす可能性があります。
(CVE-2026-67300)
3.29.0より前のFreeRDPには、PolygonSCおよびPolygonCBプライマリ描画順序の非同期更新メッセージプロキシに領域外読み取りの脆弱性があります。AsyncUpdateが有効なとき(例:xfreerdp /async-update)、update_message_PolygonSC()とupdate_message_PolygonCB()は新しいポイント配列を割り当てますが、polygonSC->points/polygonCB->pointsではなく、注文構造のアドレスからポイントデータをコピーするため、クライアント側で領域外読み取りが発生します。細工されたPolygonSC/PolygonCBの更新順序を送信する悪意のあるまたは侵害されたRDPサーバーが、メモリ漏えいやクライアントのクラッシュをトリガーする可能性があります。(CVE-2026-67301)
FreeRDPバージョン 3.28.0 以前には、libfreerdp/codec/planar.cのRDP6プレーナRLEビットマップデコーダ関数planar_decompress_plane_rle_only planar_decompress_plane_rle領域外読み取りの脆弱性があります。1 バイトの制御バイトのみが境界チェックされます。後続の0〜15の攻撃者が宣言した生バイトは、ソースバッファに含まれていることを検証せずに読み取られます。悪意のある、または侵害された RDP サーバーが、切り捨てられた平面エンコードのビットマップまたはサーフェス更新 (ビットマップ更新 PDU パスと RDPGFX サーフェスコマンドパスの両方を介して到達可能) を送信し、クライアントにソースバッファの終端を超えて読み取らせる可能性があります。この問題はFreeRDP 3.29.0で修正されています。(CVE-2026-67306)
3.29.0より前のFreeRDPには、ALSA、sndio、WinMM、OpenSL ESバックエンドのオーディオ入力リダイレクトチャンネル(audin)に整数オーバーフローの脆弱性があり、RDPサーバーからのFramesPerPacketパラメーターを検証できません。攻撃者が、悪意のある FramesPerPacket 値を供給して、割り当てサイズのラップアラウンドを引き起こし、ALSA でのヒープベースのバッファオーバーフローまたは全プラットフォームでのサービス拒否を引き起こす可能性があります。
(CVE-2026-68580)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update freerdp」または「yum update --advisory ALAS2-2026-3887」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2-2026-3887.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-64624.html
https://explore.alas.aws.amazon.com/CVE-2026-66402.html
https://explore.alas.aws.amazon.com/CVE-2026-67288.html
https://explore.alas.aws.amazon.com/CVE-2026-67289.html
https://explore.alas.aws.amazon.com/CVE-2026-67291.html
https://explore.alas.aws.amazon.com/CVE-2026-67293.html
https://explore.alas.aws.amazon.com/CVE-2026-67294.html
https://explore.alas.aws.amazon.com/CVE-2026-67295.html
https://explore.alas.aws.amazon.com/CVE-2026-67298.html
https://explore.alas.aws.amazon.com/CVE-2026-67299.html
https://explore.alas.aws.amazon.com/CVE-2026-67300.html
https://explore.alas.aws.amazon.com/CVE-2026-67301.html
プラグインの詳細
深刻度: Critical
ID: 341869
ファイル名: al2_ALAS-2026-3887.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/8/31
更新日: 2026/8/31
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.9
パーセンタイル: 96.76
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-67289
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: Critical
Base Score: 9.3
Threat Score: 8.1
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-67294
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:freerdp-debuginfo, p-cpe:/a:amazon:linux:freerdp-devel, p-cpe:/a:amazon:linux:freerdp-libs, p-cpe:/a:amazon:linux:freerdp, p-cpe:/a:amazon:linux:libwinpr-devel, p-cpe:/a:amazon:linux:libwinpr
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/31
脆弱性公開日: 2026/7/20
参照情報
CVE: CVE-2026-64624, CVE-2026-66402, CVE-2026-67288, CVE-2026-67289, CVE-2026-67291, CVE-2026-67293, CVE-2026-67294, CVE-2026-67295, CVE-2026-67298, CVE-2026-67299, CVE-2026-67300, CVE-2026-67301, CVE-2026-67306, CVE-2026-68580
IAVA: 2026-A-0867