Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 之前的 FreeRDP 3.29.0 （受影響的版本 <= 3.28.0） 在 rdpecam 相機重新導向用戶端中包含除以零弱點。 ecam_dev_process_start_streams_request（） 會剖析來自 StartStreamsRequest PDU 的伺服器控制CAM_MEDIA_TYPE_DESCRIPTION，但只會驗證 Format 和 Flags，而不驗證 FrameRateDenominator。當惡意或遭入侵的 RDP 伺服器傳送 FrameRateDenominator 設為零的 StartStreamsRequest 時，ecam_encoder_context_init（） （channels/rdpecam/client/encoding.c） 會計算 FrameRateNumerator / FrameRateDenominator，造成整數除以零 （SIGFPE） 並終止 FreeRDP 用戶端處理程序。必須在用戶端上啟用相機重新導向，才能連線通道。已在 FreeRDP 3.29.0中修正。（CVE-2026-67302）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

因此，它會受到 ALAS2023-2026-2111 公告中所提及的多個弱點影響。

    FreeRDP 之前 3.28.0 會將 RDP 檔案中以正斜線開頭的行視為原始命令列選項，從而將整個 CLI 剖析器表面暴露給不受信任的檔案。攻擊者可以使用 /rdp2tcp、/cert：ignore 或 /drive 選項製作惡意 RDP 檔案，以執行任意命令、繞過憑證驗證或在沒有使用者互動的情況下公開本機檔案系統。（CVE-2026-64624）

    之前 3.29.0 的 FreeRDP （受影響版本 <= 3.28.0） 在 tls_verify_certificate（）、tls_match_hostname（） 和 x509_utils_get_dns_names（） 中包含多個TLS憑證身分驗證弱點。由於 FreeRDP 執行自訂通用名稱和 DNS SAN 字串比對，而不是使用 OpenSSL 的長度感知身分驗證 API，因此它 (1) 在內嵌 NUL 位元組處截斷 DNS SAN 值 (接受例如
    'victim.example\0.attacker.example' 為 'victim.example')、(2) 即使存在不相符的 DNS SAN 項目，也接受相符的通用名稱，以及 (3) 透過 DNS/CN 比對接受 IP 文字目標，而不比較 iPAddress SAN。在受信任或錯誤核發的憑證鏈下，出示此類憑證的攻擊者可以繞過伺服器身分驗證，進而削弱 TLS 伺服器驗證。
    (CVE-2026-66402)

    FreeRDP 之前 3.29.0 在智慧卡快取要求解碼器中包含 NULL 指標解除參照弱點，這些解碼器會接受 LookupName 在SCARD_IOCTL_READCACHEA和SCARD_IOCTL_WRITECACHEA作業中的 NULL NDR 指標。啟用智慧卡模擬時，攻擊者可以傳送具有 NULL 查詢名稱指標的特製智慧卡快取要求，以觸發 null 指標上的 strlen（），導致用戶端處理程序終止。（CVE-2026-67288）

    之前 （受影響版本 <= 3.28.0） 的 3.29.0 FreeRDP 不會驗證伺服器控制RDP重新導向 TargetNetAddress 欄位中的 CRLF 和控制字元。此值會複製到用戶端的 ServerHostname 中，當用戶端透過 HTTP Proxy 連線時，會透過 http_proxy_connect() 直接寫入 Proxy CONNECT 要求行和 Host 標頭，而不進行篩選。惡意或遭入侵的 RDP 伺服器可傳送包含內嵌控制字元的特製重新導向 PDU，以將任意標頭/要求插入 HTTP 代理 CONNECT 要求。(CVE-2026-67289)

    之前 3.29.0 的 FreeRDP （受影響的版本 <= 3.28.0） 在 libfreerdp/cache/glyph.c 的 update_process_glyph_fragments（）/glyph_cache_fragment_put（） 中包含一個堆積越界讀取。處理GLYPH_FRAGMENT_ADD更新時，程式代碼會讀取一個位元組的伺服器控制宣告片段大小，但在配置和複製該位元組之前，不會確認它是否適合剩餘的接收緩衝區。惡意 RDP 伺服器可能會傳送宣告大小過大的短片段，導致用戶端讀取超出配置的緩衝區，進而造成越界讀取和用戶端損毀。（CVE-2026-67291）

    FreeRDP 之前 3.29.0 （受影響的版本 <= 3.28.0） 包含不正確的憑證主機名稱驗證弱點。TLS 主機名稱比對器 （libfreerdp/crypto/tls.c 中的 tls_match_hostname（） ） 會將 *.example.com 等萬用字元模式視為比對任何以 .example.com 結尾的主機名稱，因此它錯誤地接受 a.b.example.com 等多標籤子網域的萬用字元憑證 （OpenSSL 的 X509_check_host（） 拒絕）。這會削弱萬用字元憑證條件下的 TLS 伺服器驗證。
    (CVE-2026-67293)

    FreeRDP 會在 3.29.0 用戶端伺服器 TLS 驗證期間不正確驗證對等憑證的擴充金鑰使用 （EKU） 用途。在 x509_utils_verify（） 中，當伺服器用途 （X509_PURPOSE_SSL_SERVER） 驗證失敗時，程式碼會回復為用戶端用途和任何用途驗證，因此可以接受僅對 clientAuth 有效的受信任主機名稱相符憑證作為RDP伺服器憑證。在依賴用戶端與伺服器憑證之間 EKU 區隔的環境中，這可讓受信任的 CA 所核發的僅限 clientAuth 憑證繞過伺服器憑證用途驗證。（CVE-2026-67294）

    FreeRDP 之前 3.29.0 無法正確驗證磁碟機重新導向中伺服器提供的 RDPDR 路徑，從而允許攻擊者存取已設定的共用根目錄之外的前綴同級路徑。惡意 RDP 伺服器可以傳送略過共用根邊界檢查的非 root 路徑，來讀取、寫入、刪除和列舉同級目錄中的檔案。(CVE-2026-67295)

    FreeRDP 之前 3.29.0 無法在處理 http_response_recv_body（） 中的 Transfer-Encoding： chunked HTTP 回應時強制執行RESPONSE_SIZE_LIMIT。控制惡意 RD 閘道端點的攻擊者可傳送過大的區塊回應本文，以耗盡用戶端記憶體資源，而不會觸發設定的大小限制。（CVE-2026-67297）

    FreeRDP 版本 3.28.0 和更早版本的伺服器端 RAIL 通道處理常式 （channels/rail/server/rail_main.c 中的 rail_server_handle_messages（） ） 中包含堆積緩衝區溢位。處理 RAIL PDU 標頭時，程式碼會從對等控制的 orderLength 欄位中減去 RAIL_PDU_HEADER_LENGTH，而無需先驗證 orderLength 至少是標頭長度。對於 orderLength 值 0..3，這會導致無符號整數反向溢位到非常大的大小，這會繞過 Stream_EnsureRemainingCapacity（） 容量檢查 （由於指標算術循環），然後傳遞給 WTSVirtualChannelRead（），從而導致越界堆積寫入。惡意或遭入侵的 RDP 用戶端可利用此弱點來損毀堆積並損毀伺服器。已在 FreeRDP 3.29.0中修正。（CVE-2026-67298）

    FreeRDP 之前 3.29.0 在非同步更新訊息 Proxy 中包含用戶端堆積釋放後使用，以便在啟用 AsyncUpdate 時WINDOW_ICON_ORDER使用 （例如 xfreerdp /async-update）。在 update_message_WindowIcon（） 中，淺層 CopyMemory（） 會以剖析器擁有的 windowIcon->iconInfo 指標覆寫新配置的 lParam->iconInfo。剖析器回呼傳回之後，update_recv_window_info_order（） 會釋放 window_icon.iconInfo，但佇列的非同步訊息仍會保留，稍後會分派該過時指標。惡意或已入侵的 RDP 伺服器傳送特製的 RAIL 視窗替代輔助訂單並帶有 WINDOW_ORDER_ICON，可能會觸發釋放後使用，導致記憶體損毀和用戶端當機。（CVE-2026-67299）

    FreeRDP 之前 3.29.0 在啟用 AsyncUpdate 時的 RAIL WINDOW_STATE_ORDER 和 NOTIFY_ICON_STATE_ORDER 的非同步更新訊息代理中包含用戶端堆積釋放後使用弱點。當惡意或遭入侵的 RDP 伺服器傳送特製的更新命令時，訊息 Proxy 會淺層複製包含巢狀剖析器擁有指標的結構 （例如 titleInfo.string、windowRects、visibilityRects、圖示緩衝區）。剖析器會在回呼傳回之後釋放這些巢狀緩衝區，因此佇列的非同步訊息稍後會分派過時的指標，這可能會導致記憶體損毀或用戶端損毀。
    (CVE-2026-67300)

    之前 3.29.0 的 FreeRDP 包含 PolygonSC 和 PolygonCB 主要繪圖順序的非同步更新訊息 Proxy 中的越界讀取弱點。啟用 AsyncUpdate 時 （例如 xfreerdp /async-update），update_message_PolygonSC（） 和 update_message_PolygonCB（） 會配置新的點陣列，但會從訂單結構的位址複製點資料，而不是從 polygonSC->points / polygonCB->points 複製點資料，導致用戶端越界讀取。惡意或受損的 RDP 伺服器發送特製的 PolygonSC/PolygonCB 更新命令可能會觸發記憶體洩漏或用戶端崩潰。（CVE-2026-67301）

    FreeRDP 之前 3.29.0 （受影響的版本 <= 3.28.0） 在 rdpecam 相機重新導向用戶端中包含除以零弱點。 ecam_dev_process_start_streams_request（） 會剖析來自 StartStreamsRequest PDU 的伺服器控制CAM_MEDIA_TYPE_DESCRIPTION，但只會驗證 Format 和 Flags，而不驗證 FrameRateDenominator。當惡意或遭入侵的 RDP 伺服器傳送 FrameRateDenominator 設為零的 StartStreamsRequest 時，ecam_encoder_context_init（） （channels/rdpecam/client/encoding.c） 會計算 FrameRateNumerator / FrameRateDenominator，造成整數除以零 （SIGFPE） 並終止 FreeRDP 用戶端處理程序。必須在用戶端上啟用相機重新導向，才能連線通道。已在 FreeRDP 3.29.0中修正。（CVE-2026-67302）

    FreeRDP 之前 3.29.0 在 channels/serial/client/serial_main.c 的 serial_process_irp_device_control（） 中包含可連線的判斷提示 （WINPR_ASSERT（OutputBufferLength == BytesReturned））。當啟用序列裝置重新導向，且伺服器控制的 IRP_MJ_DEVICE_CONTROL 要求指定具有非零 OutputBufferLength 的不支援 IOCTL 時，CommDeviceIoControl（） 可能會以 BytesReturned = 0 失敗，造成不相符觸發宣告並中止用戶端進程 （拒絕服務） 。（CVE-2026-67303）

    當讀取器狀態解碼失敗時，FreeRDP 之前 3.29.0 在智慧卡裝置控制要求清除中包含 NULL 指標解除參照弱點。攻擊者可以使用非零 cReader 和截斷的讀取器狀態資料傳送格式錯誤的智慧卡 IRP 要求，透過free_reader_states函式中的 NULL 指標存取來損毀進程。（CVE-2026-67304）

    FreeRDP 版本 3.28.0 和更早版本在 libfreerdp/codec/planar.c 中planar_decompress_plane_rle和planar_decompress_plane_rle_only RDP6 平面 RLE 點陣圖解碼器函式中包含越界讀取弱點。只有 1 位元組控制位元組會進行邊界檢查;後續 0-15 攻擊者宣告的原始位元組會被讀取，而無需驗證來源緩衝區是否包含它們。惡意或遭入侵的 RDP 伺服器可以傳送截斷的平面編碼點陣圖或表面更新 （可透過點陣圖更新 PDU 和 RDPGFX 表面命令路徑存取），導致用戶端讀取來源緩衝區的結尾。此問題已在 FreeRDP 3.29.0中修正。（CVE-2026-67306）

    FreeRDP 之前 3.29.0 包含跨 ALSA、sndio、WinMM 和 OpenSL ES 後端的音訊輸入重新導向通道 （audin） 中的整數溢位弱點，無法驗證來自 RDP 伺服器的 FramesPerPacket 參數。攻擊者可提供惡意的 FramesPerPacket 值，造成配置大小循環，導致 ALSA 上的堆積型緩衝區溢位或所有平台上的拒絕服務。
    (CVE-2026-68580)

    之前的 FreeRDP 3.30.0 在 kerberos_DecryptMessage（） 中包含一個越界弱點 （winpr/libwinpr/sspi/Kerberos/kerberos.c）。對等提供的 GSS 包裝權杖 （RFC 4121） 的 16 位元 EC （額外計數） 欄位直接用於指標算術運算中，以定位加密區域，而無需進行邊界檢查，而僅驗證 RRC 和緩衝區總長度。惡意對等體 （伺服器或用戶端） 可在 CredSSP/NLA 驗證期間提供較大的 EC 值 （最多 0xFFFF），將解密作業的基本指標移過 ~60 位元組權杖緩衝區的末端。由於 AES-CTS-HMAC ENCTYPE 會在 HMAC 完整性檢查之前就地解密，因此會導致越界讀取和就地越界寫入，可能導致資訊洩漏、記憶體損毀或拒絕服務。
    (CVE-2026-72745)

    FreeRDP 之前 3.30.0 在 RDSTLS 交握中包含伺服器端驗證繞過。當伺服器設定為 RdstlsSecurity = TRUE 時，交握會僅根據攻擊者提供的線路 pduType 來分派傳入 PDU，而不會確認收到的 PDU 是目前步驟所需的 PDU。因為 rdpRdstls 物件是calloc歸零，所以其resultCode預設為0 （RDSTLS_RESULT_SUCCESS）。
    未經驗證的遠端用戶端可以傳送功能 PDU，而不是所需的驗證要求 PDU;rdstls_process_capabilities（） 傳回成功，但從未設定 resultCode，因此伺服器會以攜帶 resultCode SUCCESS 的 AUTHRSP 回應，並將會話視為已驗證，而不評估任何密碼、重新導向 GUID 或自動重新連接 Cookie。這會影響已發行的 FreeRDP 3.x 系列 （例如 3.27.1） 和主 HEAD;在發布公告時，沒有可用的修補版本。
    (CVE-2026-72746)

    FreeRDP 是遠端桌面通訊協定 (RDP) 的免費實作。在之前 3.30.0，libfreerdp/core/rdstls.c 中的 FreeRDP 伺服器端 RDSTLS 會在 rdstls_server_authenticate 等候RDSTLS_TYPE_AUTHREQ時接受攻擊者提供的 RDSTLS_TYPE_CAPABILITIES PDU，使 resultCode 處於RDSTLS_RESULT_SUCCESS，並允許遠端未經驗證的用戶端繞過 RedirectionGuid、使用者名稱、網域或密碼檢查。3.30.0 版已修正此問題。(CVE-2026-73241)

    FreeRDP 是遠端桌面通訊協定 (RDP) 的免費實作。在之前 3.30.0，FreeRDP 的 winpr/libwinpr/sspi/Kerberos/kerberos.c kerberos_DecryptMessage函式在 IOV 指標位移中與 RRC 搭配使用之前，無法綁定對等控制的 GSS 包裝權杖 EC 欄位，從而允許惡意RDP對等體在 CredSSP/NLA Kerberos 解密期間觸發越界讀取和就地寫入。3.30.0 版已修正此問題。(CVE-2026-73242)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于（受影响版本 <= 3.28.0）的 3.29.0 FreeRDP 在 rdpecam 相机重定向客户端中包含一个除零漏洞。 ecam_dev_process_start_streams_request（） 会解析来自 StartStreamsRequest PDU 的服务器控制CAM_MEDIA_TYPE_DESCRIPTION，但仅验证格式和标志，不验证 FrameRateDenominator。当恶意或遭到破坏的 RDP 服务器发送 FrameRateDenominator 设置为零的 StartStreamsRequest 时，ecam_encoder_context_init（） （channels/rdpecam/client/encoding.c） 会计算 FrameRateNumerator / FrameRateDenominator，从而造成整数除零 （SIGFPE） 并终止 FreeRDP 客户端进程。必须在客户端上启用摄像机重定向才能访问该通道。已在 FreeRDP 3.29.0中修复。（CVE-2026-67302）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该软件受到 ALAS2023-2026-2111 公告中提及的多个漏洞影响。

    之前 3.28.0 的 FreeRDP 将 RDP 文件中以正斜杠开头的行视为原始命令行选项，从而将整个 CLI 解析器表面暴露给不受信任的文件。攻击者可使用 /rdp2tcp、/cert：ignore 或 /drive 选项构建恶意 RDP 文件，以便在无需用户交互的情况下执行任意命令、绕过证书验证或泄露本地文件系统。（CVE-2026-64624）

    之前 3.29.0 的 FreeRDP（受影响版本 <= 3.28.0）在 tls_verify_certificate（）、tls_match_hostname（） 和 x509_utils_get_dns_names（） 中包含多个 TLS 证书标识验证漏洞。由于 FreeRDP 执行自定义公用名和 DNS SAN 字符串匹配，而不是使用 OpenSSL 的长度感知身份验证 API，因此它 (1) 会截断嵌入式 NUL 字节处的 DNS SAN 值（接受例如
    “victim.example\0.attacker.example”作为“victim.example”），(2) 即使存在不匹配的 DNS SAN 条目也接受匹配的公用名，以及 (3) 通过 DNS/CN 匹配接受 IP 文本目标，而不比较 iPAddress SAN。在受信任或错误发布的证书链下，能够提供此类证书的攻击者可绕过服务器身份验证，从而削弱 TLS 服务器身份验证。
    (CVE-2026-66402)

    之前的 FreeRDP 在 3.29.0 智能卡缓存请求解码器中包含空指针取消引用漏洞，这些解码器接受在SCARD_IOCTL_READCACHEA和SCARD_IOCTL_WRITECACHEA操作中针对 LookupName 的空 NDR 指针。当启用了智能卡仿真时，攻击者可能会发送带有 NULL 查找名称指针的特别构建的智能卡缓存请求，以在空指针上触发 strlen（），造成客户端进程终止。（CVE-2026-67288）

    之前 3.29.0 的 FreeRDP 版本（受影响版本 <= 3.28.0）未验证服务器控制的 RDP 重定向 TargetNetAddress 字段中的 CRLF 和控制字符。此值被复制到客户端的 ServerHostname 中，并且在客户端通过 HTTP 代理连接时，会不经过滤并通过 http_proxy_connect() 直接写入代理 CONNECT 请求行和主机标头。恶意或遭到破坏的 RDP 服务器可发送含有内嵌控制字符的特制重定向 PDU，从而向 HTTP 代理 CONNECT 请求中注入任意标头/请求。(CVE-2026-67289)

    （受影响版本 <=3.28.0） 之前3.29.0的 FreeRDP 在 libfreerdp/cache/glyph.c 的 update_process_glyph_fragments（）/glyph_cache_fragment_put（） 中包含堆越界读取。处理GLYPH_FRAGMENT_ADD更新时，代码会读取由服务器控制的单字节声明的片段大小，但在分配和复制如此多字节之前，未验证其是否适合接收到的剩余缓冲区。恶意 RDP 服务器可发送声明大小过大的短片段，造成客户端读取超出分配的缓冲区，从而导致越界读取和客户端崩溃。（CVE-2026-67291）

    （受影响版本 <= 3.28.0）之前3.29.0的 FreeRDP 包含错误证书主机名验证漏洞。TLS 主机名匹配程序（libfreerdp/crypto/tls.c 中的 tls_match_hostname（））将 *.example.com 等通配符模式视为匹配任何以 .example.com 结尾的主机名，因此其未正确接受 a.b.example.com 等多标签子域的通配符证书（OpenSSL 的 X509_check_host（） 拒绝））。这会削弱通配符证书情况下的 TLS 服务器认证。
    (CVE-2026-67293)

    之前 3.29.0 的 FreeRDP 在客户端服务器 TLS 身份验证期间未正确验证对等证书的扩展密钥使用 （EKU） 用途。在 x509_utils_verify（） 中，当服务器用途 （X509_PURPOSE_SSL_SERVER） 验证失败时，代码会回退到客户端用途和任意用途验证，因此可接受仅对 clientAuth 有效的受信任的主机名匹配证书作为 RDP 服务器证书。在依赖客户端和服务器证书之间的 EKU 分隔的环境中，这允许受信任的 CA 颁发的仅 clientAuth 证书绕过服务器证书目的验证。（CVE-2026-67294）

    之前 3.29.0 的 FreeRDP 无法正确验证驱动器重定向中服务器提供的 RDPDR 路径，从而允许攻击者访问配置的共享根以外的前缀同级路径。恶意 RDP 服务器可以通过发送绕过共享根目录边界检查的非根路径，对同级目录中的文件进行读取、写入、删除及枚举操作。(CVE-2026-67295)

    之前 3.29.0 的 FreeRDP 在处理传输编码时无法强制执行RESPONSE_SIZE_LIMIT：http_response_recv_body（） 中的分块 HTTP 响应。控制恶意 RD 网关端点的攻击者可以发送超大的分块响应正文，在不触发配置的大小限制的情况下耗尽客户端内存资源。（CVE-2026-67297）

    FreeRDP 版本和更旧版本 3.28.0 在服务器端的 RAIL 通道处理程序（channels/rail/server/rail_main.c 中的 rail_server_handle_messages（））中包含堆缓冲区溢出。在处理 RAIL PDU 标头时，代码会从对等机控制的 orderLength 字段中减去RAIL_PDU_HEADER_LENGTH，而不会首先验证 orderLength 至少为标头长度。对于 orderLength 值 0..3，这会导致无符号整数下溢到非常大，从而绕过 Stream_EnsureRemainingCapacity（） 容量检查（由于指针算术回绕），然后传递到 WTSVirtualChannelRead（），从而导致越界堆写入。恶意或遭到破坏的 RDP 客户端可利用此问题，损坏堆并使服务器崩溃。已在 FreeRDP 3.29.0中修复。（CVE-2026-67298）

    启用了 AsyncUpdate 时，之前的 FreeRDP 3.29.0 在用于 WINDOW_ICON_ORDER 的异步更新消息代理中包含客户端堆释放后使用（例如 xfreerdp /async-update）。在 update_message_WindowIcon（） 中，浅层 CopyMemory（） 会使用解析器拥有的 windowIcon->iconInfo 指针覆盖新分配的 lParam->iconInfo。在解析器回调返回后，update_recv_window_info_order（） 会释放 window_icon.iconInfo，但排队的异步消息仍会保留并在稍后调度该过时指针。恶意或遭到破坏的 RDP 服务器发送带有 WINDOW_ORDER_ICON 的特制 RAIL Window 备用辅助顺序，可触发释放后使用，导致内存损坏和客户端崩溃。（CVE-2026-67299）

    启用 AsyncUpdate 时，之前的 FreeRDP 3.29.0 在用于 RAIL WINDOW_STATE_ORDER 和 NOTIFY_ICON_STATE_ORDER 的异步更新消息代理中包含客户端堆释放后使用漏洞。当恶意或遭到破坏的 RDP 服务器发送特制的更新命令时，消息代理会浅层复制包含嵌套解析器拥有的指针（例如，titleInfo.string、windowRects、visibilityRects、图标缓冲区）的结构。回调返回后，解析器会释放这些嵌套缓冲区，因此排列的异步消息稍后会调度过时指针，从而可能造成内存损坏或客户端崩溃。
    (CVE-2026-67300)

    之前 3.29.0 的 FreeRDP 在 PolygonSC 和 PolygonCB 主要绘制订单的异步更新消息代理中包含越界读取漏洞。启用了 AsyncUpdate 时（例如 xfreerdp /async-update），update_message_PolygonSC（） 和 update_message_PolygonCB（） 会分配新的点数组，但是从订单结构的地址复制点数据，而不是从 polygonSC->points / polygonCB->points 复制点数据，从而导致客户端越界读取。恶意或遭到破坏的 RDP 服务器发送特制的 PolygonSC/PolygonCB 更新命令，可能会触发内存泄露或客户端崩溃。（CVE-2026-67301）

    （受影响版本 <= 3.28.0） 之前3.29.0的 FreeRDP 在 rdpecam 相机重定向客户端中包含一个除零漏洞。 ecam_dev_process_start_streams_request（） 会解析来自 StartStreamsRequest PDU 的服务器控制CAM_MEDIA_TYPE_DESCRIPTION，但仅验证格式和标志，而不验证 FrameRateDenominator。当恶意或遭到破坏的 RDP 服务器发送 FrameRateDenominator 设置为零的 StartStreamsRequest 时，ecam_encoder_context_init（） （channels/rdpecam/client/encoding.c） 会计算 FrameRateNumerator / FrameRateDenominator，从而造成整数除零 （SIGFPE） 并终止 FreeRDP 客户端进程。必须在客户端上启用摄像机重定向才能访问该通道。已在 FreeRDP 3.29.0中修复。（CVE-2026-67302）

    之前 3.29.0 的 FreeRDP 在 channels/serial/client/serial_main.c 的 serial_process_irp_device_control（） 中包含可访问的断言 （WINPR_ASSERT（OutputBufferLength == BytesReturned））。当启用了串行设备重定向并且服务器控制的 IRP_MJ_DEVICE_CONTROL 请求指定了不支持的、具有非零 OutputBufferLength 的 IOCTL 时，CommDeviceIoControl（） 可能会因 BytesReturned = 0 而失败，从而导致不匹配触发断言并中止客户端进程（拒绝服务）。（CVE-2026-67303）

    当读取器状态解码失败时，FreeRDP 之前 3.29.0 在智能卡设备控制请求清理中包含空指针取消引用漏洞。攻击者可通过free_reader_states函数中的空指针访问，发送带有非零 cReader 和截断读取器状态数据的畸形智能卡 IRP 请求，造成进程崩溃。（CVE-2026-67304）

    FreeRDP 版本 3.28.0 及之前版本在 libfreerdp/codec/planar.c 中planar_decompress_plane_rle和planar_decompress_plane_rle_only的 RDP6 平面 RLE 位图解码器函数中包含一个越界读取漏洞。仅对 1 字节控制字节进行边界检查;在未验证源缓冲区是否包含后面的 0-15 攻击者声明的原始字节的情况下被读取。恶意或遭到破坏的 RDP 服务器可发送截断的平面编码位图或表面更新（可通过位图更新 PDU 和 RDPGFX 表面命令路径访问），造成客户端读取超出源缓冲区的末尾。此问题已在 FreeRDP 3.29.0中修复。（CVE-2026-67306）

    之前的 FreeRDP 3.29.0 在 ALSA、sndio、WinMM 和 OpenSL ES 后端的音频输入重定向通道 （audin） 中包含整数溢出漏洞，无法验证来自 RDP 服务器的 FramesPerPacket 参数。攻击者可提供恶意的 FramesPerPacket 值来造成分配大小回绕，从而在 ALSA 上导致基于堆的缓冲区溢出或在所有平台上拒绝服务。
    (CVE-2026-68580)

    之前 3.30.0 的 FreeRDP 在 kerberos_DecryptMessage（） 中包含一个越界漏洞 （winpr/libwinpr/sspi/Kerberos/kerberos.c）。对等机提供的 GSS Wrap 标记 （RFC 4121） 的 16 位 EC（额外计数）字段直接用于指针算法中，以定位加密区域而不需要进行边界检查，同时仅验证 RRC 和总缓冲区长度。恶意对等方（服务器或客户端）可在 CredSSP/NLA 身份验证期间提供较大的 EC 值（最多 0xFFFF），使解密操作的基本指针移动到 ~60 字节标记缓冲区的末尾之后。由于 AES-CTS-HMAC enctype 在 HMAC 完整性检查之前就地解密，这会导致越界读取和就地越界写入，从而可能导致信息泄露、内存损坏或拒绝服务。
    (CVE-2026-72745)

    之前的 FreeRDP 在 3.30.0 RDSTLS 握手中包含服务器端身份验证绕过。当服务器配置为 RdstlsSecurity = TRUE 时，握手仅根据攻击者提供的线路 pduType 调度入站 PDU，而不验证接收到的 PDU 是否为当前步骤所需的 PDU。由于 rdpRdstls 对象为 calloc 归零，因此其 resultCode 默认为 0 （RDSTLS_RESULT_SUCCESS）。
    未经身份验证的远程客户端可以发送功能 PDU 而不是所需的身份验证请求 PDU;rdstls_process_capabilities（） 在未设置 resultCode 的情况下返回成功，因此服务器使用携带 resultCode SUCCESS 的 AUTHRSP 进行响应，并将会话视为已认证，而不评估任何密码、重定向 GUID 或自动重新连接 cookie。这会影响已发布的 FreeRDP 3.x 系列（例如 ）和主 HEAD; 3.27.1在发布公告时，尚无可用的修补版本。
    (CVE-2026-72746)

    FreeRDP 是远程桌面协议的免费实现。在 3.30.0libfreerdp/core/rdstls.c 中的 FreeRDP 服务器端 RDSTLS 在 rdstls_server_authenticate libfreerdp/core/rdstls.c 中等待RDSTLS_TYPE_AUTHREQ时，接受攻击者提供RDSTLS_TYPE_CAPABILITIES PDU，从而使 resultCode 处于RDSTLS_RESULT_SUCCESS状态，并允许未经身份验证的远程客户端绕过 RedirectionGuid、用户名、域或密码检查。此问题已在 3.30.0 版本中修复。(CVE-2026-73241)

    FreeRDP 是远程桌面协议的免费实现。在 3.30.0之前，FreeRDP 的 winpr/libwinpr/sspi/Kerberos/kerberos.c kerberos_DecryptMessage函数无法绑定对等机控制的 GSS Wrap-token EC 字段，便在 IOV 指针偏移中将其与 RRC 一起使用，从而允许恶意 RDP 对等机在 CredSSP/NLA Kerberos 解密期间触发越界读取和就地写入。此问题已在 3.30.0 版本中修复。(CVE-2026-73242)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

したがって、ALAS2023-2026-2111 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    3.28.0より前のFreeRDPは、RDPファイル内のフォワードスラッシュで始まる行をrawコマンドラインオプションとして処理し、CLIパーサーサーサーフェス全体を信頼できないファイルにさらします。攻撃者が/rdp2tcp、/cert:ignore、または/driveオプションを使用して悪意のあるRDPファイルを作成し、ユーザーの操作なしで任意のコマンドを実行したり、証明書の検証をバイパスしたり、ローカルファイルシステムを公開したりする可能性があります。(CVE-2026-64624)

    3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、tls_verify_certificate()、tls_match_hostname()、x509_utils_get_dns_names()に複数のTLS証明書ID検証の脆弱性があります。FreeRDP は、OpenSSL の長さ認識 ID 検証 API を使用する代わりにカスタムの共通名と DNS SAN 文字列の照合を実行するため、(1) DNS SAN の値を埋め込み NUL バイトで切り捨てます (例えば
    「victim.example\0.attacker.example」を「victim.example」として受け入れる)、(2) 一致しない DNS SAN エントリが存在する場合でも一致する共通名を受け入れる、(3) iPAddress SAN を比較せずに DNS/CN 照合を介して IP リテラルターゲットを受け入れる。信頼できる証明書チェーンまたは誤って発行された証明書チェーンの下で、攻撃者がそのような証明書を提示する立場にある場合、サーバーの ID 検証をバイパスし、TLS サーバーの認証を弱体化させる可能性があります。
    (CVE-2026-66402)

    3.29.0より前のFreeRDPには、SCARD_IOCTL_READCACHEAおよびSCARD_IOCTL_WRITECACHEA操作でLookupNameのNULL NDRポインターを受け入れるスマートカードキャッシュリクエストデコーダーに、NULLポインターデリファレンスの脆弱性があります。スマートカードエミュレーションが有効な場合、攻撃者が細工されたスマートカードキャッシュリクエストを NULL ルックアップ名ポインターで送信し、NULL ポインター上で strlen() を発生させて、クライアントプロセスを終了させる可能性があります。(CVE-2026-67288)

    3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)はCRLFを検証せず、サーバー制御のRDPリダイレクトTargetNetAddressフィールドの文字を制御します。この値はクライアントの ServerHostname にコピーされ、クライアントが HTTP プロキシ経由で接続する際、フィルタリングせずに http_proxy_connect() によってプロキシの CONNECT リクエスト行と Host ヘッダーに直接書き込まれます。悪意のある、または感染した RDP サーバーが、埋め込まれた制御文字を含む細工されたリダイレクト PDU を送信して、任意のヘッダー / リクエストを HTTP プロキシ CONNECT リクエストに注入する可能性があります。(CVE-2026-67289)

    3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、libfreerdp/cache/glyph.cのupdate_process_glyph_fragments()/glyph_cache_fragment_put()にヒープの領域外読み取りが含まれています。GLYPH_FRAGMENT_ADD更新を処理するとき、コードは1バイトのサーバー制御で宣言されたフラグメントサイズを読み取りますが、そのバイト数の割り当てとコピーを行う前に、それが残りの受信バッファ内にあることを検証しません。悪意のあるRDPサーバーがオーバーサイズの宣言サイズを持つ短いフラグメントを送信し、クライアントに割り当てられたバッファを超えて読み取りをさせ、結果として領域外読み取りとクライアントクラッシュが発生する可能性があります。(CVE-2026-67291)

    3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、不適切な証明書ホスト名検証の脆弱性が含まれています。TLSホスト名の照合機能(libfreerdp/crypto/tls.cのtls_match_hostname())は、*.example.com などのワイルドカードパターンを.example.com で終わるホスト名に一致するものとして扱うため、a.b.example.com のようなマルチラベルサブドメインのワイルドカード証明書を不適切に受け入れます(OpenSSLのX509_check_host()はこれを拒否します)。これにより、ワイルドカード証明書状態での TLS サーバー認証が弱体化します。
    (CVE-2026-67293)

    3.29.0より前のFreeRDPは、クライアント側のサーバー TLS認証中に、ピア証明書の拡張キー使用法(EKU)の目的を不適切に検証します。x509_utils_verify() で、server-purpose(X509_PURPOSE_SSL_SERVER)の検証が失敗すると、コードは client-purpose と any purpose の検証にフォールバックします。そのため、clientAuth に対してのみ有効な、信頼できるホスト名が一致する証明書が、RDP サーバー証明書として受け入れられます。これにより、クライアント証明書とサーバー証明書の間のEKU分離に依存する環境では、信頼できるCAが発行するclientAuthのみの証明書がサーバー証明書の目的検証をバイパスする可能性があります。(CVE-2026-67294)

    3.29.0 より前の FreeRDP は、ドライブリダイレクトでサーバー指定の RDPDR パスを適切に検証できません。これにより、攻撃者が構成された共有ルート外のプレフィックス兄弟パスにアクセスすることが可能です。悪意のある RDP サーバーが、共有ルート境界検査をバイパスする非ルートパスを送信することで、兄弟ディレクトリ内のファイルを読み取り、書き込み、削除、列挙する可能性があります。(CVE-2026-67295)

    3.29.0 以前の FreeRDP は、Transfer-Encoding: http_response_recv_body() のチャンクされた HTTP 応答を処理するときに、RESPONSE_SIZE_LIMIT の強制に失敗します。悪意のあるRDゲートウェイのエンドポイントを制御する攻撃者が、設定されたサイズ制限を発生させずにクライアントメモリリソースを枯渇させることで、大きすぎるチャンク応答本文を送信する可能性があります。(CVE-2026-67297)

    3.28.0以前のFreeRDPバージョンでは、サーバーサイドRAILチャンネルハンドラー(channels/rail/server/rail_main.cのrail_server_handle_messages())にヒープバッファオーバーフローがあります。RAIL PDU ヘッダーを処理するとき、コードは最初に orderLength がヘッダーの長さ以上であることを検証せずに、ピア制御の orderLength フィールドから RAIL_PDU_HEADER_LENGTH を引きます。orderLength 値が 0..3 の場合、これにより非常に大きなサイズへの符号なし整数アンダーフローが発生します。これにより、Stream_EnsureRemainingCapacity() 容量チェックがバイパスされ(ポインター算術のラップアラウンドがあるため)、WTSVirtualChannelRead() に渡されるため、領域外ヒープ書き込みが発生します。悪意のある、または感染した RDP クライアントがこれを悪用して、ヒープを破損させてサーバーをクラッシュさせる可能性があります。FreeRDP 3.29.0で修正されました。(CVE-2026-67298)

    3.29.0前のFreeRDPでは、AsyncUpdateが有効になっているとき(例:xfreerdp /async-update)、WINDOW_ICON_ORDERのの非同期更新メッセージプロキシにクライアント側のヒープuse-after-freeが含まれています。update_message_WindowIcon() では、浅い CopyMemory() が、新しく割り当てられた lParam->iconInfo をパーサー所有の windowIcon->iconInfo ポインターで上書きします。パーサーコールバックが返された後、update_recv_window_info_order()はwindow_icon.iconInfoを解放しますが、キューに入れられた非同期メッセージは保持され、後でその古いポインターをディスパッチします。悪意のある、または危険にさらされている RDP サーバーが細工された RAIL Window Alternate Secondary Order を WINDOW_ORDER_ICON とともに送信することで、use-after-free を発生させ、メモリ破損やクライアントのクラッシュを引き起こす可能性があります。(CVE-2026-67299)

    3.29.0 より前の FreeRDP には、AsyncUpdate が有効な場合、RAIL WINDOW_STATE_ORDER および NOTIFY_ICON_STATE_ORDER 用の非同期更新メッセージプロキシにクライアント側のヒープ use-after-free の脆弱性が含まれています。悪意のある、または侵害されたRDPサーバーが細工された更新命令を送信すると、メッセージプロキシは、ネストされたパーサー所有のポインター(titleInfo.string、windowRects、visibilityRects、アイコンバッファなど)を含む構造を浅くコピーします。コールバックが返された後にパーサーがこれらのネストされたバッファを解放するため、キューに入れられた非同期メッセージが後で古いポインターをディスパッチし、メモリ破損やクライアントのクラッシュを引き起こす可能性があります。
    (CVE-2026-67300)

    3.29.0より前のFreeRDPには、PolygonSCおよびPolygonCBプライマリ描画順序の非同期更新メッセージプロキシに領域外読み取りの脆弱性があります。AsyncUpdateが有効なとき(例:xfreerdp /async-update)、update_message_PolygonSC()とupdate_message_PolygonCB()は新しいポイント配列を割り当てますが、polygonSC->points/polygonCB->pointsではなく、注文構造のアドレスからポイントデータをコピーするため、クライアント側で領域外読み取りが発生します。細工されたPolygonSC/PolygonCBの更新順序を送信する悪意のあるまたは侵害されたRDPサーバーが、メモリ漏えいやクライアントのクラッシュをトリガーする可能性があります。(CVE-2026-67301)

    3.29.0より前のFreeRDP(影響を受けるバージョン<=3.28.0)には、rdpecamカメラリダイレクトクライアントにゼロ除算の脆弱性があります。ecam_dev_process_start_streams_request()はStartStreamsRequest PDUからのサーバー制御のCAM_MEDIA_TYPE_DESCRIPTION解析しますが、FrameRateDenominatorではなく、FormatとFlagsのみを検証します。悪意のある、または危険にさらされているRDPサーバーがFrameRateDenominatorをゼロに設定してStartStreamsRequestを送信すると、ecam_encoder_context_init(channels/rdpecam/client/encoding.c)はFrameRateNumerator/FrameRateDenominatorを計算し、整数ゼロ除算(SIGFPE)とFreeRDPクライアントプロセスの終了を引き起こします。チャネルに到達可能にするには、クライアントでカメラリダイレクトを有効にする必要があります。FreeRDP 3.29.0で修正されました。(CVE-2026-67302)

    3.29.0前のFreeRDPには、channels/serial/client/serial_main.cのserial_process_irp_device_control()に到達可能なアサーション(WINPR_ASSERT(OutputBufferLength == BytesReturned))が含まれています。シリアルデバイスのリダイレクトが有効で、サーバーコントロールの IRP_MJ_DEVICE_CONTROL リクエストが OutputBufferLength がゼロでないサポートされない IOCTL を指定する場合、CommDeviceIoControl() が BytesReturned = 0 で失敗し、不一致が原因でアサーションがトリガーされ、クライアントプロセスが中止される可能性があります(サービス拒否)。(CVE-2026-67303)

    3.29.0 より前の FreeRDP には、リーダー状態のデコードが失敗したときのスマートカードデバイスコントロールリクエストクリーンアップに、NULL ポインターデリファレンスの脆弱性が含まれています。攻撃者が、free_reader_states関数のnullポインターアクセスを介して、ゼロ以外のcReaderと切り捨てられたリーダー状態データを含む不正な形式のスマートカードIRPリクエストを送信し、プロセスをクラッシュさせる可能性があります。(CVE-2026-67304)

    FreeRDPバージョン 3.28.0 以前には、libfreerdp/codec/planar.cのRDP6プレーナRLEビットマップデコーダ関数planar_decompress_plane_rle_only planar_decompress_plane_rle領域外読み取りの脆弱性があります。1 バイトの制御バイトのみが境界チェックされます。後続の0〜15の攻撃者が宣言した生バイトは、ソースバッファに含まれていることを検証せずに読み取られます。悪意のある、または侵害された RDP サーバーが、切り捨てられた平面エンコードのビットマップまたはサーフェス更新 (ビットマップ更新 PDU パスと RDPGFX サーフェスコマンドパスの両方を介して到達可能) を送信し、クライアントにソースバッファの終端を超えて読み取らせる可能性があります。この問題はFreeRDP 3.29.0で修正されています。(CVE-2026-67306)

    3.29.0より前のFreeRDPには、ALSA、sndio、WinMM、OpenSL ESバックエンドのオーディオ入力リダイレクトチャンネル(audin)に整数オーバーフローの脆弱性があり、RDPサーバーからのFramesPerPacketパラメーターを検証できません。攻撃者が、悪意のある FramesPerPacket 値を供給して、割り当てサイズのラップアラウンドを引き起こし、ALSA でのヒープベースのバッファオーバーフローまたは全プラットフォームでのサービス拒否を引き起こす可能性があります。
    (CVE-2026-68580)

    3.30.0より前のFreeRDPには、kerberos_DecryptMessage()に領域外の脆弱性があります(winpr/libwinpr/sspi/Kerberos/kerberos.c)。ピア指定のGSS Wrapトークン(RFC 4121)の16ビットEC(追加カウント)フィールドは、RRCとバッファの合計長のみが検証される一方、境界チェックなしで暗号化された領域を見つけるためにポインター計算で直接使用されます。悪意のあるピア(サーバーまたはクライアント)がCredSSP/NLA認証中に大きなEC値(最大0xFFFF)を供給し、復号操作のベースポインターを~60バイトのトークンバッファの末尾を越えて移動する可能性があります。AES-CTS-HMAC ENCTYPE は HMAC 整合性チェックの前にその場所で復号化されるため、領域外読み取りとインプレース領域外書き込みが発生し、情報漏洩、メモリ破損、またはサービス拒否を引き起こす可能性があります。
    (CVE-2026-72745)

    3.30.0より前のFreeRDPでは、RDSTLSハンドシェイクにサーバー側の認証バイパスが含まれています。サーバーが RdstlsSecurity = TRUE に設定されていると、ハンドシェイクは受信した PDU が現在のステップで必要なものであるかどうかを検証することなく、攻撃者が指定したワイヤ pduType のみに基づいてインバウンド PDU をディスパッチします。rdpRdstls オブジェクトは calloc-zero であるため、その resultCode はデフォルトで 0 (RDSTLS_RESULT_SUCCESS) になります。
    認証されていないリモートクライアントが、必要な認証リクエストPDUの代わりに機能PDUを送信する可能性があります。rdstls_process_capabilities() は resultCode を設定せずに成功を返します。このため、サーバーは resultCode SUCCESS のある AUTHRSP で応答し、パスワード、リダイレクト GUID または自動再接続クッキーを評価せずにセッションを認証されたものとして扱います。これは、リリースされたFreeRDP 3.x シリーズ(例: 3.27.1)とマスターHEADに影響を与えます。アドバイザリ発表時点では、パッチ適用バージョンはありません。
    (CVE-2026-72746)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.30.0より前では、libfreerdp/core/rdstls.cのFreeRDPサーバー側RDSTLSは、rdstls_server_authenticateがRDSTLS_TYPE_AUTHREQを待機している間に攻撃者が指定したRDSTLS_TYPE_CAPABILITIES PDUを受け入れ、resultCodeをRDSTLS_RESULT_SUCCESSしたままにして、認証されていないリモートのクライアントがRedirectionGuid、ユーザー名、ドメイン、パスワードのチェックをバイパスする可能性があります。この問題はバージョン 3.30.0 で修正されています。(CVE-2026-73241)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.30.0より前では、FreeRDPのwinpr/libwinpr/sspi/Kerberos/kerberos.c kerberos_DecryptMessage関数は、IOVポインターオフセットでRRCとともに使用する前に、ピア制御のGSS Wrap-token ECフィールドをバインドできないため、悪意のあるRDPピアがCredSSP/NLA Kerberosの復号化中に領域外読み取りおよびインプレース書き込みをトリガーする可能性があります。この問題はバージョン 3.30.0 で修正されています。(CVE-2026-73242)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.29.0 より前のFreeRDP(影響を受けるバージョン<= 3.28.0)には、rdpecamカメラリダイレクトクライアントにゼロ除算の脆弱性があります。ecam_dev_process_start_streams_request()はStartStreamsRequest PDUからのサーバー制御のCAM_MEDIA_TYPE_DESCRIPTION解析しますが、FrameRateDenominatorではなく、FormatとFlagsのみを検証します。悪意のある、または危険にさらされているRDPサーバーがFrameRateDenominatorをゼロに設定してStartStreamsRequestを送信すると、ecam_encoder_context_init(channels/rdpecam/client/encoding.c)はFrameRateNumerator/FrameRateDenominatorを計算し、整数ゼロ除算(SIGFPE)とFreeRDPクライアントプロセスの終了を引き起こします。チャネルに到達可能にするには、クライアントでカメラリダイレクトを有効にする必要があります。FreeRDP 3.29.0で修正されました。(CVE-2026-67302)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains a divide-by-zero vulnerability in the rdpecam     camera redirection client. ecam_dev_process_start_streams_request() parses a server-controlled     CAM_MEDIA_TYPE_DESCRIPTION from a StartStreamsRequest PDU but validates only Format and Flags, not     FrameRateDenominator. When a malicious or compromised RDP server sends a StartStreamsRequest with     FrameRateDenominator set to zero, ecam_encoder_context_init() (channels/rdpecam/client/encoding.c)     computes FrameRateNumerator / FrameRateDenominator, causing an integer division by zero (SIGFPE) and     termination of the FreeRDP client process. Camera redirection must be enabled on the client for the     channel to be reachable. Fixed in FreeRDP 3.29.0. (CVE-2026-67302)

Note that Nessus relies on the presence of the package as reported by the vendor.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2111 advisory.

    FreeRDP before 3.28.0 treats lines beginning with forward slash in RDP files as raw command-line options,     exposing the entire CLI parser surface to untrusted files. Attackers can craft malicious RDP files with     /rdp2tcp, /cert:ignore, or /drive options to execute arbitrary commands, bypass certificate validation, or     expose local filesystems without user interaction. (CVE-2026-64624)

    FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains multiple TLS certificate identity validation     weaknesses in tls_verify_certificate(), tls_match_hostname(), and x509_utils_get_dns_names(). Because     FreeRDP performs custom Common Name and DNS SAN string matching instead of using OpenSSL's length-aware     identity validation APIs, it (1) truncates DNS SAN values at embedded NUL bytes (accepting e.g.
    'victim.example\0.attacker.example' as 'victim.example'), (2) accepts a matching Common Name even when     non-matching DNS SAN entries are present, and (3) accepts IP-literal targets via DNS/CN matching without     comparing iPAddress SANs. Under a trusted or misissued certificate chain, an attacker positioned to     present such a certificate can bypass server identity verification, weakening TLS server authentication.
    (CVE-2026-66402)

    FreeRDP before 3.29.0 contains a null pointer dereference vulnerability in smartcard cache request     decoders that accept NULL NDR pointers for LookupName in SCARD_IOCTL_READCACHEA and     SCARD_IOCTL_WRITECACHEA operations. When smartcard emulation is enabled, attackers can send crafted     smartcard cache requests with NULL lookup-name pointers to trigger strlen() on a null pointer, causing     client process termination. (CVE-2026-67288)

    FreeRDP before 3.29.0 (affected versions <= 3.28.0) does not validate CRLF and control characters in the     server-controlled RDP redirection TargetNetAddress field. This value is copied into the client's     ServerHostname and, when the client connects through an HTTP proxy, is written directly into the proxy     CONNECT request line and Host header by http_proxy_connect() without filtering. A malicious or compromised     RDP server can send a crafted redirection PDU containing embedded control characters to inject arbitrary     headers/requests into the HTTP proxy CONNECT request. (CVE-2026-67289)

    FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains a heap out-of-bounds read in     update_process_glyph_fragments()/glyph_cache_fragment_put() in libfreerdp/cache/glyph.c. When handling a     GLYPH_FRAGMENT_ADD update, the code reads a one-byte server-controlled declared fragment size but does not     verify it fits within the remaining received buffer before allocating and copying that many bytes. A     malicious RDP server can send a short fragment with an oversized declared size, causing the client to read     beyond the allocated buffer, resulting in an out-of-bounds read and client crash. (CVE-2026-67291)

    FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains an improper certificate hostname validation     vulnerability. The TLS hostname matcher (tls_match_hostname() in libfreerdp/crypto/tls.c) treats a     wildcard pattern such as *.example.com as matching any hostname ending in .example.com, so it incorrectly     accepts a wildcard certificate for multi-label subdomains like a.b.example.com (which OpenSSL's     X509_check_host() rejects). This weakens TLS server authentication under wildcard-certificate conditions.
    (CVE-2026-67293)

    FreeRDP before 3.29.0 improperly validates the Extended Key Usage (EKU) purpose of the peer certificate     during client-side server TLS authentication. In x509_utils_verify(), when server-purpose     (X509_PURPOSE_SSL_SERVER) verification fails, the code falls back to client-purpose and any-purpose     verification, so a trusted, hostname-matching certificate valid only for clientAuth can be accepted as the     RDP server certificate. In environments relying on EKU separation between client and server certificates,     this allows a clientAuth-only certificate issued by a trusted CA to bypass server certificate purpose     validation. (CVE-2026-67294)

    FreeRDP before 3.29.0 fails to properly validate server-supplied RDPDR paths in drive redirection,     allowing attackers to access prefix-sibling paths outside the configured shared root. A malicious RDP     server can read, write, delete, and enumerate files in sibling directories by sending non-rooted paths     that bypass the shared-root boundary check. (CVE-2026-67295)

    FreeRDP before 3.29.0 fails to enforce the RESPONSE_SIZE_LIMIT when processing Transfer-Encoding: chunked     HTTP responses in http_response_recv_body(). Attackers controlling a malicious RD Gateway endpoint can     send oversized chunked response bodies to exhaust client memory resources without triggering the     configured size limit. (CVE-2026-67297)

    FreeRDP versions 3.28.0 and earlier contain a heap buffer overflow in the server-side RAIL channel handler     (rail_server_handle_messages() in channels/rail/server/rail_main.c). When processing a RAIL PDU header,     the code subtracts RAIL_PDU_HEADER_LENGTH from the peer-controlled orderLength field without first     verifying orderLength is at least the header length. For orderLength values 0..3 this causes an unsigned     integer underflow to a very large size, which bypasses the Stream_EnsureRemainingCapacity() capacity check     (due to pointer arithmetic wraparound) and is then passed to WTSVirtualChannelRead(), resulting in an out-     of-bounds heap write. A malicious or compromised RDP client can exploit this to corrupt the heap and crash     the server. Fixed in FreeRDP 3.29.0. (CVE-2026-67298)

    FreeRDP before 3.29.0 contains a client-side heap use-after-free in the async update message proxy for     WINDOW_ICON_ORDER when AsyncUpdate is enabled (e.g. xfreerdp /async-update). In     update_message_WindowIcon() a shallow CopyMemory() overwrites a freshly allocated lParam->iconInfo with     the parser-owned windowIcon->iconInfo pointer. After the parser callback returns,     update_recv_window_info_order() frees window_icon.iconInfo, but the queued async message still retains and     later dispatches that stale pointer. A malicious or compromised RDP server sending a crafted RAIL Window     Alternate Secondary Order with WINDOW_ORDER_ICON can trigger use-after-free, leading to memory corruption     and client crash. (CVE-2026-67299)

    FreeRDP before 3.29.0 contains client-side heap use-after-free vulnerabilities in the async update message     proxy for RAIL WINDOW_STATE_ORDER and NOTIFY_ICON_STATE_ORDER when AsyncUpdate is enabled. When a     malicious or compromised RDP server sends crafted update orders, the message proxy shallow-copies     structures containing nested parser-owned pointers (e.g., titleInfo.string, windowRects, visibilityRects,     icon buffers). The parser frees those nested buffers after the callback returns, so the queued async     message later dispatches stale pointers, potentially causing memory corruption or a client crash.
    (CVE-2026-67300)

    FreeRDP before 3.29.0 contains out-of-bounds read vulnerabilities in the async update message proxy for     the PolygonSC and PolygonCB primary drawing orders. When AsyncUpdate is enabled (e.g., xfreerdp /async-     update), update_message_PolygonSC() and update_message_PolygonCB() allocate a fresh points array but copy     point data from the address of the order structure instead of from polygonSC->points / polygonCB->points,     resulting in a client-side out-of-bounds read. A malicious or compromised RDP server sending crafted     PolygonSC/PolygonCB update orders can trigger memory disclosure or a client crash. (CVE-2026-67301)

    FreeRDP before 3.29.0 (affected versions <= 3.28.0) contains a divide-by-zero vulnerability in the rdpecam     camera redirection client. ecam_dev_process_start_streams_request() parses a server-controlled     CAM_MEDIA_TYPE_DESCRIPTION from a StartStreamsRequest PDU but validates only Format and Flags, not     FrameRateDenominator. When a malicious or compromised RDP server sends a StartStreamsRequest with     FrameRateDenominator set to zero, ecam_encoder_context_init() (channels/rdpecam/client/encoding.c)     computes FrameRateNumerator / FrameRateDenominator, causing an integer division by zero (SIGFPE) and     termination of the FreeRDP client process. Camera redirection must be enabled on the client for the     channel to be reachable. Fixed in FreeRDP 3.29.0. (CVE-2026-67302)

    FreeRDP before 3.29.0 contains a reachable assertion (WINPR_ASSERT(OutputBufferLength == BytesReturned))     in serial_process_irp_device_control() in channels/serial/client/serial_main.c. When serial device     redirection is enabled and a server-controlled IRP_MJ_DEVICE_CONTROL request specifies an unsupported     IOCTL with a non-zero OutputBufferLength, CommDeviceIoControl() can fail with BytesReturned = 0, causing     the mismatch to trigger the assertion and abort the client process (denial of service). (CVE-2026-67303)

    FreeRDP before 3.29.0 contains a null pointer dereference vulnerability in smartcard device control     request cleanup when reader-state decoding fails. Attackers can send malformed smartcard IRP requests with     non-zero cReaders and truncated reader-state data to crash the process via null pointer access in     free_reader_states functions. (CVE-2026-67304)

    FreeRDP versions 3.28.0 and earlier contain an out-of-bounds read vulnerability in the RDP6 planar RLE     bitmap decoder functions planar_decompress_plane_rle and planar_decompress_plane_rle_only in     libfreerdp/codec/planar.c. Only the 1-byte control byte is bounds-checked; the subsequent 0-15 attacker-     declared raw bytes are read without validating that the source buffer contains them. A malicious or     compromised RDP server can send a truncated planar-encoded bitmap or surface update (reachable via both     the Bitmap Update PDU and RDPGFX Surface Command paths) that causes the client to read past the end of the     source buffer. The issue is fixed in FreeRDP 3.29.0. (CVE-2026-67306)

    FreeRDP before 3.29.0 contains integer overflow vulnerabilities in the audio input redirection channel     (audin) across ALSA, sndio, WinMM, and OpenSL ES backends that fail to validate the FramesPerPacket     parameter from RDP servers. Attackers can supply a malicious FramesPerPacket value causing allocation size     wraparound, resulting in heap-based buffer overflow on ALSA or denial of service on all platforms.
    (CVE-2026-68580)

    FreeRDP before 3.30.0 contains an out-of-bounds vulnerability in kerberos_DecryptMessage()     (winpr/libwinpr/sspi/Kerberos/kerberos.c). The 16-bit EC (extra count) field of a peer-supplied GSS Wrap     token (RFC 4121) is used directly in pointer arithmetic to locate the encrypted regions without being     bounds-checked, while only RRC and the total buffer length are validated. A malicious peer (server or     client) can supply a large EC value (up to 0xFFFF) during CredSSP/NLA authentication, moving the decrypt     operation's base pointers past the end of the ~60-byte token buffer. Because the AES-CTS-HMAC enctypes     decrypt in place before the HMAC integrity check, this results in an out-of-bounds read and in-place out-     of-bounds write, potentially leading to information disclosure, memory corruption, or denial of service.
    (CVE-2026-72745)

    FreeRDP before 3.30.0 contains a server-side authentication bypass in the RDSTLS handshake. When a server     is configured with RdstlsSecurity = TRUE, the handshake dispatches inbound PDUs based solely on the     attacker-supplied wire pduType without verifying that the received PDU is the one required at the current     step. Because the rdpRdstls object is calloc-zeroed, its resultCode defaults to 0 (RDSTLS_RESULT_SUCCESS).
    An unauthenticated remote client can send a Capabilities PDU instead of the required Authentication     Request PDU; rdstls_process_capabilities() returns success without ever setting resultCode, so the server     responds with an AUTHRSP carrying resultCode SUCCESS and treats the session as authenticated without     evaluating any password, redirection GUID, or auto-reconnect cookie. This affects the released FreeRDP 3.x     series (e.g., 3.27.1) and master HEAD; at the time of the advisory no patched version was available.
    (CVE-2026-72746)

    FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.30.0, FreeRDP server-side     RDSTLS in libfreerdp/core/rdstls.c accepts an attacker-supplied RDSTLS_TYPE_CAPABILITIES PDU while     rdstls_server_authenticate is waiting for RDSTLS_TYPE_AUTHREQ, leaving resultCode at RDSTLS_RESULT_SUCCESS     and allowing a remote unauthenticated client to bypass the RedirectionGuid, username, domain, or password     checks. This issue is fixed in version 3.30.0. (CVE-2026-73241)

    FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.30.0, FreeRDP's     winpr/libwinpr/sspi/Kerberos/kerberos.c kerberos_DecryptMessage function fails to bound the peer-     controlled GSS Wrap-token EC field before using it with RRC in IOV pointer offsets, allowing a malicious     RDP peer to trigger out-of-bounds reads and in-place writes during CredSSP/NLA Kerberos decryption. This     issue is fixed in version 3.30.0. (CVE-2026-73242)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
331629	Linux Distros 未修補弱點：CVE-2026-67302	Nessus	Misc.	8/2/2026	9/10/2026	medium
342051	Amazon Linux 2023：freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2111)	Nessus	Amazon Linux Local Security Checks	9/1/2026	9/10/2026	critical
331629	Linux Distros 未修补的漏洞：CVE-2026-67302	Nessus	Misc.	8/2/2026	9/10/2026	medium
342051	Amazon Linux 2023：freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2111)	Nessus	Amazon Linux Local Security Checks	9/1/2026	9/10/2026	critical
342051	Amazon Linux 2023 : freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2111)	Nessus	Amazon Linux Local Security Checks	9/1/2026	9/10/2026	critical
331629	Linux Distros のパッチ未適用の脆弱性: CVE-2026-67302	Nessus	Misc.	8/2/2026	9/10/2026	medium
331629	Linux Distros Unpatched Vulnerability : CVE-2026-67302	Nessus	Misc.	8/2/2026	9/10/2026	medium
342051	Amazon Linux 2023 : freerdp, freerdp-devel, freerdp-libs (ALAS2023-2026-2111)	Nessus	Amazon Linux Local Security Checks	9/1/2026	9/10/2026	critical

Detections

Analytics

Plugins Search

medium

critical

medium

critical

critical

medium

medium

critical