Amazon Linux 2023 : freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2111)
critical Nessus プラグイン ID 342051
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-2111 のアドバイザリに記載されている複数の脆弱性の影響を受けます。3.28.0より前のFreeRDPは、RDPファイル内のフォワードスラッシュで始まる行をrawコマンドラインオプションとして処理し、CLIパーサーサーサーフェス全体を信頼できないファイルにさらします。攻撃者が/rdp2tcp、/cert:ignore、または/driveオプションを使用して悪意のあるRDPファイルを作成し、ユーザーの操作なしで任意のコマンドを実行したり、証明書の検証をバイパスしたり、ローカルファイルシステムを公開したりする可能性があります。(CVE-2026-64624)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、tls_verify_certificate()、tls_match_hostname()、x509_utils_get_dns_names()に複数のTLS証明書ID検証の脆弱性があります。FreeRDP は、OpenSSL の長さ認識 ID 検証 API を使用する代わりにカスタムの共通名と DNS SAN 文字列の照合を実行するため、(1) DNS SAN の値を埋め込み NUL バイトで切り捨てます (例えば
「victim.example\0.attacker.example」を「victim.example」として受け入れる)、(2) 一致しない DNS SAN エントリが存在する場合でも一致する共通名を受け入れる、(3) iPAddress SAN を比較せずに DNS/CN 照合を介して IP リテラルターゲットを受け入れる。信頼できる証明書チェーンまたは誤って発行された証明書チェーンの下で、攻撃者がそのような証明書を提示する立場にある場合、サーバーの ID 検証をバイパスし、TLS サーバーの認証を弱体化させる可能性があります。
(CVE-2026-66402)
3.29.0より前のFreeRDPには、SCARD_IOCTL_READCACHEAおよびSCARD_IOCTL_WRITECACHEA操作でLookupNameのNULL NDRポインターを受け入れるスマートカードキャッシュリクエストデコーダーに、NULLポインターデリファレンスの脆弱性があります。スマートカードエミュレーションが有効な場合、攻撃者が細工されたスマートカードキャッシュリクエストを NULL ルックアップ名ポインターで送信し、NULL ポインター上で strlen() を発生させて、クライアントプロセスを終了させる可能性があります。(CVE-2026-67288)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)はCRLFを検証せず、サーバー制御のRDPリダイレクトTargetNetAddressフィールドの文字を制御します。この値はクライアントの ServerHostname にコピーされ、クライアントが HTTP プロキシ経由で接続する際、フィルタリングせずに http_proxy_connect() によってプロキシの CONNECT リクエスト行と Host ヘッダーに直接書き込まれます。悪意のある、または感染した RDP サーバーが、埋め込まれた制御文字を含む細工されたリダイレクト PDU を送信して、任意のヘッダー / リクエストを HTTP プロキシ CONNECT リクエストに注入する可能性があります。(CVE-2026-67289)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、libfreerdp/cache/glyph.cのupdate_process_glyph_fragments()/glyph_cache_fragment_put()にヒープの領域外読み取りが含まれています。GLYPH_FRAGMENT_ADD更新を処理するとき、コードは1バイトのサーバー制御で宣言されたフラグメントサイズを読み取りますが、そのバイト数の割り当てとコピーを行う前に、それが残りの受信バッファ内にあることを検証しません。悪意のあるRDPサーバーがオーバーサイズの宣言サイズを持つ短いフラグメントを送信し、クライアントに割り当てられたバッファを超えて読み取りをさせ、結果として領域外読み取りとクライアントクラッシュが発生する可能性があります。(CVE-2026-67291)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、不適切な証明書ホスト名検証の脆弱性が含まれています。TLSホスト名の照合機能(libfreerdp/crypto/tls.cのtls_match_hostname())は、*.example.com などのワイルドカードパターンを.example.com で終わるホスト名に一致するものとして扱うため、a.b.example.com のようなマルチラベルサブドメインのワイルドカード証明書を不適切に受け入れます(OpenSSLのX509_check_host()はこれを拒否します)。これにより、ワイルドカード証明書状態での TLS サーバー認証が弱体化します。
(CVE-2026-67293)
3.29.0より前のFreeRDPは、クライアント側のサーバー TLS認証中に、ピア証明書の拡張キー使用法(EKU)の目的を不適切に検証します。x509_utils_verify() で、server-purpose(X509_PURPOSE_SSL_SERVER)の検証が失敗すると、コードは client-purpose と any purpose の検証にフォールバックします。そのため、clientAuth に対してのみ有効な、信頼できるホスト名が一致する証明書が、RDP サーバー証明書として受け入れられます。これにより、クライアント証明書とサーバー証明書の間のEKU分離に依存する環境では、信頼できるCAが発行するclientAuthのみの証明書がサーバー証明書の目的検証をバイパスする可能性があります。(CVE-2026-67294)
3.29.0 より前の FreeRDP は、ドライブリダイレクトでサーバー指定の RDPDR パスを適切に検証できません。これにより、攻撃者が構成された共有ルート外のプレフィックス兄弟パスにアクセスすることが可能です。悪意のある RDP サーバーが、共有ルート境界検査をバイパスする非ルートパスを送信することで、兄弟ディレクトリ内のファイルを読み取り、書き込み、削除、列挙する可能性があります。(CVE-2026-67295)
3.29.0 以前の FreeRDP は、Transfer-Encoding: http_response_recv_body() のチャンクされた HTTP 応答を処理するときに、RESPONSE_SIZE_LIMIT の強制に失敗します。悪意のあるRDゲートウェイのエンドポイントを制御する攻撃者が、設定されたサイズ制限を発生させずにクライアントメモリリソースを枯渇させることで、大きすぎるチャンク応答本文を送信する可能性があります。(CVE-2026-67297)
3.28.0以前のFreeRDPバージョンでは、サーバーサイドRAILチャンネルハンドラー(channels/rail/server/rail_main.cのrail_server_handle_messages())にヒープバッファオーバーフローがあります。RAIL PDU ヘッダーを処理するとき、コードは最初に orderLength がヘッダーの長さ以上であることを検証せずに、ピア制御の orderLength フィールドから RAIL_PDU_HEADER_LENGTH を引きます。orderLength 値が 0..3 の場合、これにより非常に大きなサイズへの符号なし整数アンダーフローが発生します。これにより、Stream_EnsureRemainingCapacity() 容量チェックがバイパスされ(ポインター算術のラップアラウンドがあるため)、WTSVirtualChannelRead() に渡されるため、領域外ヒープ書き込みが発生します。悪意のある、または感染した RDP クライアントがこれを悪用して、ヒープを破損させてサーバーをクラッシュさせる可能性があります。FreeRDP 3.29.0で修正されました。(CVE-2026-67298)
3.29.0前のFreeRDPでは、AsyncUpdateが有効になっているとき(例:xfreerdp /async-update)、WINDOW_ICON_ORDERのの非同期更新メッセージプロキシにクライアント側のヒープuse-after-freeが含まれています。update_message_WindowIcon() では、浅い CopyMemory() が、新しく割り当てられた lParam->iconInfo をパーサー所有の windowIcon->iconInfo ポインターで上書きします。パーサーコールバックが返された後、update_recv_window_info_order()はwindow_icon.iconInfoを解放しますが、キューに入れられた非同期メッセージは保持され、後でその古いポインターをディスパッチします。悪意のある、または危険にさらされている RDP サーバーが細工された RAIL Window Alternate Secondary Order を WINDOW_ORDER_ICON とともに送信することで、use-after-free を発生させ、メモリ破損やクライアントのクラッシュを引き起こす可能性があります。(CVE-2026-67299)
3.29.0 より前の FreeRDP には、AsyncUpdate が有効な場合、RAIL WINDOW_STATE_ORDER および NOTIFY_ICON_STATE_ORDER 用の非同期更新メッセージプロキシにクライアント側のヒープ use-after-free の脆弱性が含まれています。悪意のある、または侵害されたRDPサーバーが細工された更新命令を送信すると、メッセージプロキシは、ネストされたパーサー所有のポインター(titleInfo.string、windowRects、visibilityRects、アイコンバッファなど)を含む構造を浅くコピーします。コールバックが返された後にパーサーがこれらのネストされたバッファを解放するため、キューに入れられた非同期メッセージが後で古いポインターをディスパッチし、メモリ破損やクライアントのクラッシュを引き起こす可能性があります。
(CVE-2026-67300)
3.29.0より前のFreeRDPには、PolygonSCおよびPolygonCBプライマリ描画順序の非同期更新メッセージプロキシに領域外読み取りの脆弱性があります。AsyncUpdateが有効なとき(例:xfreerdp /async-update)、update_message_PolygonSC()とupdate_message_PolygonCB()は新しいポイント配列を割り当てますが、polygonSC->points/polygonCB->pointsではなく、注文構造のアドレスからポイントデータをコピーするため、クライアント側で領域外読み取りが発生します。細工されたPolygonSC/PolygonCBの更新順序を送信する悪意のあるまたは侵害されたRDPサーバーが、メモリ漏えいやクライアントのクラッシュをトリガーする可能性があります。(CVE-2026-67301)
3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、rdpecamカメラリダイレクトクライアントにゼロ除算の脆弱性があります。ecam_dev_process_start_streams_request()はStartStreamsRequest PDUからのサーバー制御のCAM_MEDIA_TYPE_DESCRIPTION解析しますが、FrameRateDenominatorではなく、FormatとFlagsのみを検証します。悪意のある、または危険にさらされているRDPサーバーがFrameRateDenominatorをゼロに設定してStartStreamsRequestを送信すると、ecam_encoder_context_init(channels/rdpecam/client/encoding.c)はFrameRateNumerator/FrameRateDenominatorを計算し、整数ゼロ除算(SIGFPE)とFreeRDPクライアントプロセスの終了を引き起こします。チャネルに到達可能にするには、クライアントでカメラリダイレクトを有効にする必要があります。FreeRDP 3.29.0で修正されました。(CVE-2026-67302)
3.29.0前のFreeRDPには、channels/serial/client/serial_main.cのserial_process_irp_device_control()に到達可能なアサーション(WINPR_ASSERT(OutputBufferLength == BytesReturned))が含まれています。シリアルデバイスのリダイレクトが有効で、サーバーコントロールの IRP_MJ_DEVICE_CONTROL リクエストが OutputBufferLength がゼロでないサポートされない IOCTL を指定する場合、CommDeviceIoControl() が BytesReturned = 0 で失敗し、不一致が原因でアサーションがトリガーされ、クライアントプロセスが中止される可能性があります(サービス拒否)。(CVE-2026-67303)
3.29.0 より前の FreeRDP には、リーダー状態のデコードが失敗したときのスマートカードデバイスコントロールリクエストクリーンアップに、NULL ポインターデリファレンスの脆弱性が含まれています。攻撃者が、free_reader_states関数のnullポインターアクセスを介して、ゼロ以外のcReaderと切り捨てられたリーダー状態データを含む不正な形式のスマートカードIRPリクエストを送信し、プロセスをクラッシュさせる可能性があります。(CVE-2026-67304)
FreeRDPバージョン 3.28.0 以前には、libfreerdp/codec/planar.cのRDP6プレーナRLEビットマップデコーダ関数planar_decompress_plane_rle_only planar_decompress_plane_rle領域外読み取りの脆弱性があります。1 バイトの制御バイトのみが境界チェックされます。後続の0〜15の攻撃者が宣言した生バイトは、ソースバッファに含まれていることを検証せずに読み取られます。悪意のある、または侵害された RDP サーバーが、切り捨てられた平面エンコードのビットマップまたはサーフェス更新 (ビットマップ更新 PDU パスと RDPGFX サーフェスコマンドパスの両方を介して到達可能) を送信し、クライアントにソースバッファの終端を超えて読み取らせる可能性があります。この問題はFreeRDP 3.29.0で修正されています。(CVE-2026-67306)
3.29.0より前のFreeRDPには、ALSA、sndio、WinMM、OpenSL ESバックエンドのオーディオ入力リダイレクトチャンネル(audin)に整数オーバーフローの脆弱性があり、RDPサーバーからのFramesPerPacketパラメーターを検証できません。攻撃者が、悪意のある FramesPerPacket 値を供給して、割り当てサイズのラップアラウンドを引き起こし、ALSA でのヒープベースのバッファオーバーフローまたは全プラットフォームでのサービス拒否を引き起こす可能性があります。
(CVE-2026-68580)
3.30.0より前のFreeRDPには、kerberos_DecryptMessage()に領域外の脆弱性があります(winpr/libwinpr/sspi/Kerberos/kerberos.c)。ピア指定のGSS Wrapトークン(RFC 4121)の16ビットEC(追加カウント)フィールドは、RRCとバッファの合計長のみが検証される一方、境界チェックなしで暗号化された領域を見つけるためにポインター計算で直接使用されます。悪意のあるピア(サーバーまたはクライアント)がCredSSP/NLA認証中に大きなEC値(最大0xFFFF)を供給し、復号操作のベースポインターを~60バイトのトークンバッファの末尾を越えて移動する可能性があります。AES-CTS-HMAC ENCTYPE は HMAC 整合性チェックの前にその場所で復号化されるため、領域外読み取りとインプレース領域外書き込みが発生し、情報漏洩、メモリ破損、またはサービス拒否を引き起こす可能性があります。
(CVE-2026-72745)
3.30.0より前のFreeRDPでは、RDSTLSハンドシェイクにサーバー側の認証バイパスが含まれています。サーバーが RdstlsSecurity = TRUE に設定されていると、ハンドシェイクは受信した PDU が現在のステップで必要なものであるかどうかを検証することなく、攻撃者が指定したワイヤ pduType のみに基づいてインバウンド PDU をディスパッチします。rdpRdstls オブジェクトは calloc-zero であるため、その resultCode はデフォルトで 0 (RDSTLS_RESULT_SUCCESS) になります。
認証されていないリモートクライアントが、必要な認証リクエストPDUの代わりに機能PDUを送信する可能性があります。rdstls_process_capabilities() は resultCode を設定せずに成功を返します。このため、サーバーは resultCode SUCCESS のある AUTHRSP で応答し、パスワード、リダイレクト GUID または自動再接続クッキーを評価せずにセッションを認証されたものとして扱います。これは、リリースされたFreeRDP 3.x シリーズ(例: 3.27.1)とマスターHEADに影響を与えます。アドバイザリ発表時点では、パッチ適用バージョンはありません。
(CVE-2026-72746)
FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.30.0より前では、libfreerdp/core/rdstls.cのFreeRDPサーバー側RDSTLSは、rdstls_server_authenticateがRDSTLS_TYPE_AUTHREQを待機している間に攻撃者が指定したRDSTLS_TYPE_CAPABILITIES PDUを受け入れ、resultCodeをRDSTLS_RESULT_SUCCESSしたままにして、認証されていないリモートのクライアントがRedirectionGuid、ユーザー名、ドメイン、パスワードのチェックをバイパスする可能性があります。この問題はバージョン 3.30.0 で修正されています。(CVE-2026-73241)
FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.30.0より前では、FreeRDPのwinpr/libwinpr/sspi/Kerberos/kerberos.c kerberos_DecryptMessage関数は、IOVポインターオフセットでRRCとともに使用する前に、ピア制御のGSS Wrap-token ECフィールドをバインドできないため、悪意のあるRDPピアがCredSSP/NLA Kerberosの復号化中に領域外読み取りおよびインプレース書き込みをトリガーする可能性があります。この問題はバージョン 3.30.0 で修正されています。(CVE-2026-73242)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update freerdp --releasever 2023.12.20260831」または「dnf update --advisory ALAS2023-2026-2111 --releasever 2023.12.20260831」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2111.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-64624.html
https://explore.alas.aws.amazon.com/CVE-2026-66402.html
https://explore.alas.aws.amazon.com/CVE-2026-67288.html
https://explore.alas.aws.amazon.com/CVE-2026-67289.html
https://explore.alas.aws.amazon.com/CVE-2026-67291.html
https://explore.alas.aws.amazon.com/CVE-2026-67293.html
https://explore.alas.aws.amazon.com/CVE-2026-67294.html
https://explore.alas.aws.amazon.com/CVE-2026-67295.html
https://explore.alas.aws.amazon.com/CVE-2026-67297.html
https://explore.alas.aws.amazon.com/CVE-2026-67298.html
https://explore.alas.aws.amazon.com/CVE-2026-67299.html
https://explore.alas.aws.amazon.com/CVE-2026-67300.html
https://explore.alas.aws.amazon.com/CVE-2026-67301.html
https://explore.alas.aws.amazon.com/CVE-2026-67302.html
https://explore.alas.aws.amazon.com/CVE-2026-67303.html
https://explore.alas.aws.amazon.com/CVE-2026-67304.html
https://explore.alas.aws.amazon.com/CVE-2026-67306.html
https://explore.alas.aws.amazon.com/CVE-2026-68580.html
https://explore.alas.aws.amazon.com/CVE-2026-72745.html
https://explore.alas.aws.amazon.com/CVE-2026-72746.html
プラグインの詳細
深刻度: Critical
ID: 342051
ファイル名: al2023_ALAS2023-2026-2111.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/9/1
更新日: 2026/9/1
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.9
パーセンタイル: 96.76
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-67289
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: Critical
Base Score: 9.3
Threat Score: 8.1
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-67294
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:freerdp-debuginfo, p-cpe:/a:amazon:linux:freerdp-debugsource, p-cpe:/a:amazon:linux:freerdp-devel, p-cpe:/a:amazon:linux:freerdp-libs-debuginfo, p-cpe:/a:amazon:linux:freerdp-libs, p-cpe:/a:amazon:linux:freerdp-server-debuginfo, p-cpe:/a:amazon:linux:freerdp-server, p-cpe:/a:amazon:linux:freerdp, p-cpe:/a:amazon:linux:libwinpr-debuginfo, p-cpe:/a:amazon:linux:libwinpr-devel, p-cpe:/a:amazon:linux:libwinpr
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/31
脆弱性公開日: 2026/7/20
参照情報
CVE: CVE-2026-64624, CVE-2026-66402, CVE-2026-67288, CVE-2026-67289, CVE-2026-67291, CVE-2026-67293, CVE-2026-67294, CVE-2026-67295, CVE-2026-67297, CVE-2026-67298, CVE-2026-67299, CVE-2026-67300, CVE-2026-67301, CVE-2026-67302, CVE-2026-67303, CVE-2026-67304, CVE-2026-67306, CVE-2026-68580, CVE-2026-73241, CVE-2026-73242
IAVA: 2026-A-0867