したがって、ALAS2023-2026-2142 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.28.0の前に、認証されたRDPクライアントは、nBlockAlignが8に等しく、nChannelが2に等しいDVI ADPCMをアドバタイズし、channels/rdpsnd/server/rdpsnd_main.cのrdpsnd_server_select_formatの「bs」計算をゼロにすることができます。後続のout_framesモジュロ「bs」操作により、SIGFPE が呼び出され、サーバー側の rdpsnd チャネルプロセスが終了します。この脆弱性は 3.28.0 で修正されました。(CVE-2026-63117)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.28.0より前は、libfreerdp/codec/dsp.cのfreerdp_dsp_decode_opusは、opus_decodeがデコードされたPCMを呼び出し元指定の出力ストリームに書き込む場合でも、context->common.bufferでStream_EnsureRemainingCapacity呼び出します。悪意のある RDP サーバーが、WITH_OPUS を有効にして、WITH_DSP_FFMPEG を無効にして構築されたクライアントとWAVE_FORMAT_OPUSネゴシエーションを行うことで、channels/rdpsnd/client/rdpsnd_main.c が使用する 4096 バイトのStreamPool_Take宛先を超えて、libopus に大きなデコードされたフレームを書き込む可能性があります。これにより、クライアントヒープが破損したり、クライアントがクラッシュしたり、コードが実行される可能性があります。この問題はバージョン 3.28.0 で修正されています。(CVE-2026-63633)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.28.0より前に、channels/rdpsnd/server/rdpsnd_main.c のrdpsnd_server_recv_formatsは、所有ポインターまたはnum_client_formatsを消去せずに、無効な形式のクライアントオーディオフォーマット PDU のコンテキスト>client_formatsを解放します。認証された RDP クライアントが、残りのレコードよりも大きな cbSize などのエラーを発生させ、ダングリングポインターをサーバーコンテキストに残し、セッション終了時に rdpsnd_server_context_free に同じ割り当てを再び解放させる可能性があります。これによりサーバーが確実に終了し、アロケーター依存のヒープ破損が発生する可能性があります。この問題はバージョン 3.28.0 で修正されています。(CVE-2026-63652)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.29.0より前に、libfreerdp/codec/planar.cのplanar_decompress_plane_rleとplanar_decompress_plane_rle_onlyは制御バイトが存在することを検証しますが、ソースバッファにその制御バイトによって宣言された0〜15の生バイトが含まれていることは検証しません。悪意のある RDP サーバーが、切り捨てられた平面ビットマップまたはサーフェス更新を送信し、その最終制御バイトが追加の raw バイトを要求し、カラープレーンの処理中にデコーダーに pSrcData を超えて読み取りさせる可能性があります。これは、クライアントをクラッシュさせ、隣接メモリを漏洩させる可能性があります。この問題はバージョン 3.29.0 で修正されています。(CVE-2026-69159)

    FreeRDPに欠陥が見つかりました。この脆弱性により、権限が低いリモートの攻撃者が、サーバーまたはプロキシプロセスメモリからダウンストリームのクライアントに機密情報を漏洩する可能性があります。これは、Save Session Info Protocol Data Unit(PDU)の書き込みを担う特定の関数が、予約されたパディングフィールドにStream_ZeroではなくStream_Seekを使用し、前のセッションからのクリアテキストの認証情報を含む可能性のある初期化されていないヒープメモリの転送を引き起こすために発生しています。(CVE-2026-85089)

    FreeRDPに欠陥が見つかりました。AVC444 Chroma プレーンの再構築中に、「general_ChromaV1ToYUV444」関数にヒープ領域外読み取りの脆弱性が存在します。悪意のあるリモートデスクトッププロトコル(RDP)サーバーとして動作するリモートの攻撃者が、特定のフレームジオメトリを持つ特別に細工された「RFX_AVC444_BITMAP_STREAM」を送信することで、これを悪用する可能性があります。これにより、領域外メモリ読み取りが発生し、機密のヒープデータがクライアントに漏洩するか、クライアントをクラッシュさせてサービス拒否を引き起こす可能性があります。(CVE-2026-85090)

    3.31.0 より前の FreeRDP バージョンには、固定されたインライン配列に対する ATR 長フィールドの検証に失敗するスマートカード応答デコーダーの領域外読み取りの脆弱性があります。認証された RDP クライアントが、PAKID_CORE_DEVICE_IOCOMPLETION 応答で大き過ぎる ATR 長を送信し、スタックまたはヒープオブジェクトを越えた読み取りをトリガーし、プロセスを停止させる可能性があります。(CVE-2026-91945)

    3.31.0より前のFreeRDPバージョンでは、RDPGFXサーバーのResetGraphics PDUシリアライザーに情報漏えいの脆弱性があり、固定の340バイトのワイヤ形式でパディングバイトを初期化できません。
    攻撃者が、PDU で送信されたライブポインターと GLib 関数アドレスを含む初期化されていないヒープメモリを受け取り、ヒープ ASLR を打ち破り、GLib モジュールのベースアドレスを漏洩する可能性があります。(CVE-2026-91946)

    3.31.0より前のFreeRDPサーバーのバージョンでは、DRDYNVCパーサーにメモリ解放後使用(Use After Free)の脆弱性があり、同期ロックの解放後にチャネルポインターをデリファレンスします。認証されたクライアントが、AUDIN チャネル終了メッセージを DRDYNVC データ解析に対して競合させ、解放されたチャネルオブジェクトにアクセスする際に heap-use-after-free を発生させる可能性があります。(CVE-2026-91947)

    3.31.0より前のバージョンのFreeRDPサーバーには、プロトコルネゴシエーションバイパスの脆弱性があり、サーバーポリシーでRDSTLS接続が無効になっているにも関わらず、認証されていない攻撃者がRDSTLS接続を確立する可能性があります。攻撃者が、互換性のないプロトコルリクエストを送信し、ネゴシエーションの失敗を受信し、TLSハンドシェイクを完了してRDSTLSを入力して、事前認証の転送制限をバイパスする可能性があります。(CVE-2026-91949)

    3.31.0より前のFreeRDPには、バッファ境界検証における32ビットの符号なし整数ラップアラウンドにより、rdpdr_dump_packet関数に領域外読み取りの脆弱性があります。悪意のあるRDPサーバーが、computerNameLen が 0xFFFFFFF0 に設定された細工された RDPDR パケットを送信し、境界チェックをバイパスし、パケットバッファを超えてメモリ読み取りを発生させ、クライアントのクラッシュまたはログのヒープ漏洩を引き起こす可能性があります。(CVE-2026-91950)

    3.31.0より前のFreeRDPバージョンには、nego_send_negotiation_request()にヒープバッファオーバーフローの脆弱性があり、固定された512バイトのバッファに書き込む前にLB_LOAD_BALANCE_INFOフィールド長を検証できません。悪意のあるRDPサーバーや中間者が、オーバーサイズのLB_LOAD_BALANCE_INFO値を持つサーバーリダイレクトPDUを送信し、攻撃者が制御するコンテンツでバッファをオーバーフローさせ、認証が完了する前にサービス拒否またはヒープ破損を引き起こす可能性があります。
    (CVE-2026-91953)

    3.31.0より前のFreeRDPには、プロトコルフィールドInterfaceNumberではなく位置によってインターフェイス配列をインデックス化するURBDRCチャンネルのfunc_get_ep_desc関数に、領域外読み取りの脆弱性があります。悪意のある RDP サーバーが、順番換えられた InterfaceNumber 値を含む細工された SELECT_CONFIGURATION メッセージを送信し、割り当てられたヒープメモリを超えて読み取り、クライアントをクラッシュさせる可能性があります。(CVE-2026-91956)

    3.31.0より前のFreeRDPには、デバイスの登録後にワーカースレッドの作成が失敗したとき、スマートカードRDPDRデバイスハンドラーにメモリ解放後使用(use-after-free)の脆弱性があります。攻撃者がチャネル設定中にスレッド作成の失敗をトリガーし、devmanが参照を保持している間にデバイスポインターの割り当て解除を引き起こし、クラッシュまたはコード実行を引き起こす可能性があります。(CVE-2026-91957)

    3.31.0より前のFreeRDPバージョンは、RDP接続ファイルを解析するときにMonitorIds配列値を検証できないため、xf_detect_monitorsで無制限の配列インデックス作成が可能になります。攻撃者が領域外のselectedmonitors値を持つ悪意のあるRDPファイルを作成し、xfreerdpで開かれたときに領域外ヒープ読み取りおよび書き込み操作を引き起こす可能性があります。(CVE-2026-91958)

    3.31.0より前のFreeRDPには、RPCゲートウェイトランスポートパーサー内のrts_read_result関数にバッファオーバーリードの脆弱性があります。攻撃者が、切り捨てられた結果エントリを含む悪意のあるBIND_ACK PDUを送信し、領域外読み取りをトリガーし、プロセスの中止を引き起こす可能性があります。(CVE-2026-91959)

    FreeRDP before 3.31.0 では、URBDRC コントロール転送リクエストパスにサービス拒否の脆弱性が含まれており、libusb バックエンドに転送する前に OutputBufferSize を検証できません。悪意のある RDP サーバーが OutputBufferSize を 65536 に設定して制御転送リクエストを送信し、到達可能なアサーションをトリガーしてクライアントプロセスを終了させる可能性があります。(CVE-2026-91961)

    3.31.0 より前の FreeRDP バージョンでは、urbdrc USB リダイレクトチャネルに初期化されていないヒープメモリ漏洩の脆弱性があります。悪意のある RDP サーバーが、USB 転送の失敗を誘発して、クライアントから初期化されていないヒープメモリを読み取ることで、ASLR を無効にし、メモリ破損の脆弱性に連鎖しているときにリモートコードの実行を可能にする可能性があります。(CVE-2026-91963)

    3.31.0より前のFreeRDPバージョンには、攻撃者が制御するLoadBalanceInfoフィールドを持つサーバーリダイレクトPDUメッセージを処理するとき、nego_send_negotiation_requestにヒープベースのバッファオーバーフローがあります。悪意のある RDP サーバーが、検証なしで固定 512 バイトのバッファに書き込まれる任意の長さのフィールドを送信することでオーバーフローを発生させ、メモリ漏洩と連鎖させられたときにクライアントのクラッシュやコードの実行を引き起こす可能性があります。(CVE-2026-91964)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2142)

critical Nessus プラグイン ID 345797

バージョン 1.2