Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前 3.31.0 的 FreeRDP 在色度平面重建期间 AVC444 的 general_ChromaV1ToYUV444 函数中包含堆越界读取漏洞。恶意 RDP 服务器可以使用特定的帧几何构造RFX_AVC444_BITMAP_STREAM，以触发越界内存读取，使其越过分配的 luma 平面。（CVE-2026-85090）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - FreeRDP 之前 3.31.0 在色度平面重建期間， AVC444 general_ChromaV1ToYUV444函式中包含堆積越界讀取弱點。惡意RDP伺服器可製作具有特定影格幾何圖形的RFX_AVC444_BITMAP_STREAM，以觸發越界記憶體讀取超過已配置的亮度平面。（CVE-2026-85090）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

因此，该软件受到 ALAS2023-2026-2142 公告中提及的多个漏洞影响。

    FreeRDP 是远程桌面协议的免费实现。在 3.28.0之前，经过身份验证的 RDP 客户端可以公告 nBlockAlign 等于 8 且 nChannels 等于 2 的 DVI ADPCM，从而使 channels/rdpsnd/server/rdpsnd_main.c 中rdpsnd_server_select_format的“bs”计算等于零。后续的 out_frames 模数“bs”操作会引发 SIGFPE 并终止服务器端的 rdpsnd 通道进程。此漏洞已在 3.28.0.（CVE-2026-63117）

    FreeRDP 是远程桌面协议的免费实现。在版本之前 3.28.0，libfreerdp/codec/dsp.c 中的 freerdp_dsp_decode_opus 会在 context->common.buffer 上调用Stream_EnsureRemainingCapacity，即使opus_decode将解码后的 PCM 写入调用程序提供的输出流中也是如此。恶意 RDP 服务器与在启用了 WITH_OPUS 和禁用WITH_DSP_FFMPEG时构建的客户端进行WAVE_FORMAT_OPUS协商，可使 libopus 在 channels/rdpsnd/client/rdpsnd_main.c 使用的 4096 字节StreamPool_Take目标之外写入大型解码帧。这可损坏客户端堆、导致客户端崩溃，并可能允许代码执行。此问题已在 3.28.0 版本中修复。(CVE-2026-63633)

    FreeRDP 是远程桌面协议的免费实现。低于 3.28.0的 ，channels/rdpsnd/server/rdpsnd_main.c 中的 rdpsnd_server_recv_formats 在不清除所属指针或num_client_formats的情况下，释放畸形客户端音频格式 PDU 上的上下文>client_formats。经认证的 RDP 客户端可触发错误，例如 cbSize 大于剩余记录、将悬摆指针留在服务器上下文中并导致 rdpsnd_server_context_free 在会话拆卸时再次释放相同的分配。这样会可靠地终止服务器并可能造成与分配器有关的堆损坏。此问题已在 3.28.0 版本中修复。(CVE-2026-63652)

    FreeRDP 是远程桌面协议的免费实现。在 libfreerdp/codec/planar.c 中的 planar_decompress_plane_rle 和 planar_decompress_plane_rle_only 之前， 3.29.0会验证控制字节是否存在，但不会验证源缓冲区中是否包含该控制字节声明的 0 到 15 个原始字节。恶意 RDP 服务器可发送截断的平面位图或表面更新，其最终控制字节声明额外的原始字节，从而导致解码器在处理颜色平面时读取范围超过 pSrcData。这可导致客户端崩溃并可能泄露相邻内存。此问题已在 3.29.0 版本中修复。(CVE-2026-69159)

    在 FreeRDP 中发现一个缺陷。此漏洞允许低权限的远程攻击者将服务器或代理进程内存中的敏感信息泄露给下游客户端。发生此问题的原因是某些负责写入保存会话信息协议数据单元 （PDU） 的函数为保留的填充字段使用 Stream_Seek 而不是 Stream_Zero，从而导致传输可能包含以前会话的明文凭据的未初始化堆内存。（CVE-2026-85089）

    在 FreeRDP 中发现一个缺陷。色度平面重建期间 AVC444 ，'general_ChromaV1ToYUV444' 函数中存在堆越界读取漏洞。远程攻击者可作为恶意远程桌面协议 （RDP） 服务器，通过发送特别构建的具有特定帧几何的“RFX_AVC444_BITMAP_STREAM”来利用此漏洞。这可导致越界内存读取，进而可能将敏感堆数据泄露给客户端，或造成客户端崩溃，进而导致拒绝服务。（CVE-2026-85090）

    FreeRDP 之前 3.31.0 版本的智能卡响应解码器中包含越界读取漏洞，无法针对固定内联数组验证 ATR 长度字段。经身份验证的 RDP 客户端可在 PAKID_CORE_DEVICE_IOCOMPLETION 响应中发送过大的 ATR 长度，以触发读取过去的堆栈或堆对象，进而造成进程终止。（CVE-2026-91945）

    之前 3.31.0 的 FreeRDP 版本在 RDPGFX 服务器的 ResetGraphics PDU 序列化程序中包含信息泄露漏洞，无法初始化固定 340 字节线路格式的填充字节。
    攻击者可接收未经初始化的堆内存，包括在 PDU 中传输的实时指针和 GLib 函数地址，破解堆 ASLR 并泄露 GLib 模块基址。（CVE-2026-91946）

    之前 3.31.0 的 FreeRDP 服务器版本在 DRDYNVC 解析器中包含释放后使用漏洞，可在释放同步锁定后取消引用通道指针。经身份验证的客户端可在访问已释放的通道对象时，针对 DRDYNVC 数据解析争用 AUDIN 通道关闭消息，以触发释放后堆使用。（CVE-2026-91947）

    之前 3.31.0 的 FreeRDP 服务器版本包含一个协议协商绕过漏洞，允许未经身份验证的攻击者建立 RDSTLS 连接，尽管服务器策略禁用了此类连接。攻击者可发送不兼容的协议请求、接收协商失败，然后完成 TLS 握手并进入 RDSTLS 以绕过预身份验证传输限制。（CVE-2026-91949）

    之前的 FreeRDP 3.31.0 在 rdpdr_dump_packet 函数中包含越界读取漏洞，这是因为缓冲区边界验证中的 32 位无符号整数回绕所致。恶意 RDP 服务器可发送 computerNameLen 设置为 0xFFFFFFF0 的构建 RDPDR 数据包来绕过边界检查并触发经过数据包缓冲区的内存读取，从而导致客户端崩溃或堆泄露在日志中。（CVE-2026-91950）

    之前 3.31.0 的 FreeRDP 版本在 nego_send_negotiation_request（） 中包含堆缓冲区溢出漏洞，可在写入固定的 512 字节缓冲区之前验证LB_LOAD_BALANCE_INFO字段长度。恶意 RDP 服务器或中间人可发送带有超大 LB_LOAD_BALANCE_INFO 值的服务器重定向 PDU，使具有攻击者控制的内容的缓冲区溢出，进而在验证完成之前造成拒绝服务或堆损坏。
    (CVE-2026-91953)

    之前的 FreeRDP 3.31.0 在 URBDRC 通道的 func_get_ep_desc 函数中包含一个越界读取漏洞，该漏洞可按位置而非协议字段 InterfaceNumber 为接口数组编制索引。恶意 RDP 服务器可发送包含置换的 InterfaceNumber 值的构建 SELECT_CONFIGURATION 消息，以读取超过已分配堆内存，并造成客户端崩溃。（CVE-2026-91956）

    设备注册后工作线程创建失败时，FreeRDP 之前 3.31.0 的智能卡 RDPDR 设备处理程序中包含释放后使用漏洞。攻击者可在通道设置期间触发线程创建失败，造成设备指针解除分配，而 devman 会保留引用，进而导致崩溃或代码执行。（CVE-2026-91957）

    之前的 FreeRDP 版本 3.31.0 在解析 RDP 连接文件时无法验证 MonitorIds 数组值，从而允许在xf_detect_monitors中建立不受限制的数组索引。在 xfreerdp 中打开时，攻击者可能会使用超出范围的 selectedmonitors 值特制恶意 RDP 文件，以触发越界堆栈读取和写入操作。（CVE-2026-91958）

    之前的 FreeRDP 3.31.0 在 RPC 网关传输解析器的 rts_read_result 函数中包含缓冲区过度读取漏洞。攻击者可发送含有截断结果条目的恶意 BIND_ACK PDU 来触发越界读取，进而造成进程中止。（CVE-2026-91959）

    之前 3.31.0 的 FreeRDP 在 URBDRC 控制传输请求路径中包含拒绝服务漏洞，无法在转发到 libusb 后端之前验证 OutputBufferSize。恶意 RDP 服务器可发送 OutputBufferSize 设置为 65536 的控制传输请求，触发可访问的断言来终止客户端进程。（CVE-2026-91961）

    之前 3.31.0 的 FreeRDP 版本在 urbdrc USB 重定向通道中包含未初始化堆内存泄露漏洞。恶意 RDP 服务器可引发 USB 传输失败，以从客户端读取未初始化的堆内存，从而破坏 ASLR，并在与内存损坏漏洞链接时启用远程代码执行。（CVE-2026-91963）

    处理含有攻击者控制的 LoadBalanceInfo 字段的服务器重定向 PDU 消息时，FreeRDP 之前 3.31.0 版本在nego_send_negotiation_request中包含基于堆的缓冲区溢出。恶意 RDP 服务器可通过发送任意长度的字段触发溢出，该字段在未经验证的情况下写入固定的 512 字节缓冲区，从而在与内存泄露链接时导致客户端崩溃或可能执行代码。（CVE-2026-91964）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 freerdp 版本低于 2.11.7-1。因此，该软件受到 ALAS2-2026-3938 公告中提及的多个漏洞影响。

    在 FreeRDP 中发现一个缺陷。此漏洞允许低权限的远程攻击者将服务器或代理进程内存中的敏感信息泄露给下游客户端。发生此问题的原因是某些负责写入保存会话信息协议数据单元 （PDU） 的函数为保留的填充字段使用 Stream_Seek 而不是 Stream_Zero，从而导致传输可能包含以前会话的明文凭据的未初始化堆内存。（CVE-2026-85089）

    在 FreeRDP 中发现一个缺陷。色度平面重建期间 AVC444 ，'general_ChromaV1ToYUV444' 函数中存在堆越界读取漏洞。远程攻击者可作为恶意远程桌面协议 （RDP） 服务器，通过发送特别构建的具有特定帧几何的“RFX_AVC444_BITMAP_STREAM”来利用此漏洞。这可导致越界内存读取，进而可能将敏感堆数据泄露给客户端，或造成客户端崩溃，进而导致拒绝服务。（CVE-2026-85090）

    之前 3.31.0 的 FreeRDP 版本在 RDPGFX 服务器的 ResetGraphics PDU 序列化程序中包含信息泄露漏洞，无法初始化固定 340 字节线路格式的填充字节。
    攻击者可接收未经初始化的堆内存，包括在 PDU 中传输的实时指针和 GLib 函数地址，破解堆 ASLR 并泄露 GLib 模块基址。（CVE-2026-91946）

    之前 3.31.0 的 FreeRDP 服务器版本在 DRDYNVC 解析器中包含释放后使用漏洞，可在释放同步锁定后取消引用通道指针。经身份验证的客户端可在访问已释放的通道对象时，针对 DRDYNVC 数据解析争用 AUDIN 通道关闭消息，以触发释放后堆使用。（CVE-2026-91947）

    之前 3.31.0 的 FreeRDP 版本在 nego_send_negotiation_request（） 中包含堆缓冲区溢出漏洞，可在写入固定的 512 字节缓冲区之前验证LB_LOAD_BALANCE_INFO字段长度。恶意 RDP 服务器或中间人可发送带有超大 LB_LOAD_BALANCE_INFO 值的服务器重定向 PDU，使具有攻击者控制的内容的缓冲区溢出，进而在验证完成之前造成拒绝服务或堆损坏。
    (CVE-2026-91953)

    之前的 FreeRDP 3.31.0 在 URBDRC 通道的 func_get_ep_desc 函数中包含一个越界读取漏洞，该漏洞可按位置而非协议字段 InterfaceNumber 为接口数组编制索引。恶意 RDP 服务器可发送包含置换的 InterfaceNumber 值的构建 SELECT_CONFIGURATION 消息，以读取超过已分配堆内存，并造成客户端崩溃。（CVE-2026-91956）

    设备注册后工作线程创建失败时，FreeRDP 之前 3.31.0 的智能卡 RDPDR 设备处理程序中包含释放后使用漏洞。攻击者可在通道设置期间触发线程创建失败，造成设备指针解除分配，而 devman 会保留引用，进而导致崩溃或代码执行。（CVE-2026-91957）

    之前的 FreeRDP 版本 3.31.0 在解析 RDP 连接文件时无法验证 MonitorIds 数组值，从而允许在xf_detect_monitors中建立不受限制的数组索引。在 xfreerdp 中打开时，攻击者可能会使用超出范围的 selectedmonitors 值特制恶意 RDP 文件，以触发越界堆栈读取和写入操作。（CVE-2026-91958）

    之前的 FreeRDP 3.31.0 在 RPC 网关传输解析器的 rts_read_result 函数中包含缓冲区过度读取漏洞。攻击者可发送含有截断结果条目的恶意 BIND_ACK PDU 来触发越界读取，进而造成进程中止。（CVE-2026-91959）

    之前 3.31.0 的 FreeRDP 版本在 urbdrc USB 重定向通道中包含未初始化堆内存泄露漏洞。恶意 RDP 服务器可引发 USB 传输失败，以从客户端读取未初始化的堆内存，从而破坏 ASLR，并在与内存损坏漏洞链接时启用远程代码执行。（CVE-2026-91963）

    处理含有攻击者控制的 LoadBalanceInfo 字段的服务器重定向 PDU 消息时，FreeRDP 之前 3.31.0 版本在nego_send_negotiation_request中包含基于堆的缓冲区溢出。恶意 RDP 服务器可通过发送任意长度的字段触发溢出，该字段在未经验证的情况下写入固定的 512 字节缓冲区，从而在与内存泄露链接时导致客户端崩溃或可能执行代码。（CVE-2026-91964）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它會受到 ALAS2023-2026-2142 公告中所提及的多個弱點影響。

    FreeRDP 是遠端桌面通訊協定 (RDP) 的免費實作。在 3.28.0之前，經過驗證的RDP用戶端可以在 nBlockAlign 等於 8 且 nChannels 等於 2 的情況下通告 DVI ADPCM，以使 channels/rdpsnd/server/rdpsnd_main.c 中的 rdpsnd_server_select_format 中的「bs」計算等於零。後續的out_frames模 'bs' 操作會引發 SIGFPE 並終止伺服器端 rdpsnd 通道處理程序。此弱點已在 中修正 3.28.0。（CVE-2026-63117）

    FreeRDP 是遠端桌面通訊協定 (RDP) 的免費實作。之前， 3.28.0libfreerdp/codec/dsp.c 中的freerdp_dsp_decode_opus會Stream_EnsureRemainingCapacity context->common.buffer 上的呼叫，即使 opus_decode 會將解碼的 PCM 寫入呼叫端提供的輸出資料流中也是如此。惡意 RDP 伺服器與已啟用和停用 WITH_OPUS 的用戶端協商WAVE_FORMAT_OPUS，可WITH_DSP_FFMPEG使 libopus 寫入超出 channels/rdpsnd/client/rdpsnd_main.c 使用的 4096 位元組StreamPool_Take目的地的大型解碼框架。這可能會損毀用戶端堆積、當機用戶端，並可能允許程式碼執行。3.28.0 版已修正此問題。(CVE-2026-63633)

    FreeRDP 是遠端桌面通訊協定 (RDP) 的免費實作。在 3.28.0之前，channels/rdpsnd/server/rdpsnd_main.c 中的rdpsnd_server_recv_formats會釋放格式錯誤的用戶端音訊格式 PDU 上的上下文>client_formats，而無需清除擁有的指標或num_client_formats。已驗證RDP用戶端可能會觸發錯誤，例如 cbSize 大於其餘記錄、將懸置指標保留在伺服器內容中，並導致rdpsnd_server_context_free在工作階段卸除時再次釋放相同的配置。這會可靠地終止伺服器，並可能造成配置器相依的堆積損毀。3.28.0 版已修正此問題。(CVE-2026-63652)

    FreeRDP 是遠端桌面通訊協定 (RDP) 的免費實作。在 3.29.0之前，libfreerdp/codec/planar.c 中的planar_decompress_plane_rle和planar_decompress_plane_rle_only會驗證控制位元組是否存在，但不要驗證來源緩衝區是否包含該控制位元組所宣告的零到十五個原始位元組。惡意 RDP 伺服器可能會傳送截斷的平面點陣圖或表面更新，其最終控制位元組會宣告額外的原始位元組，導致解碼器在處理色彩平面時讀取超出 pSrcData。這可能會使用戶端當機，並可能洩漏相鄰記憶體。3.29.0 版已修正此問題。(CVE-2026-69159)

    在 FreeRDP 中發現一個缺陷。此弱點允許具有低權限的遠端攻擊者將敏感資訊從伺服器或代理進程記憶體洩露給下游用戶端。發生這種情況的原因是，負責寫入儲存工作階段資訊通訊協定資料單位 （PDU） 的特定函式會針對保留的填補欄位使用 Stream_Seek，而不是Stream_Zero，導致傳輸未初始化的堆積記憶體，其中可能包含先前工作階段的純文字認證。（CVE-2026-85089）

    在 FreeRDP 中發現一個缺陷。色度平面重建期間 AVC444 的 'general_ChromaV1ToYUV444' 函式中存在堆積越界讀取弱點。遠端攻擊者充當惡意遠端桌面通訊協定 （RDP） 伺服器，可以透過傳送具有特定框架幾何形狀的特製「RFX_AVC444_BITMAP_STREAM」來利用這一點。這可能會導致越界記憶體讀取，進而可能將敏感堆積資料洩露給用戶端，或導致用戶端當機，進而造成拒絕服務。（CVE-2026-85090）

    之前的 3.31.0 FreeRDP 版本在智慧卡回應解碼器中包含越界讀取弱點，無法針對固定內嵌陣列驗證 ATR 長度欄位。經過驗證的RDP用戶端可以在PAKID_CORE_DEVICE_IOCOMPLETION回應中傳送過大的 ATR 長度，以觸發經過堆疊或堆積物件的讀取，從而導致處理程序終止。（CVE-2026-91945）

    之前的 3.31.0 FreeRDP 版本在 RDPGFX 伺服器的 ResetGraphics PDU 序列化程式中包含資訊洩漏弱點，無法以固定的 340 位元組連線格式初始化填補位元組。
    攻擊者可以接收未初始化的堆記憶體，包括在 PDU 中傳輸的即時指標和 GLib 函數位址，從而擊敗堆積 ASLR 並洩露 GLib 模組基址。（CVE-2026-91946）

    之前的 3.31.0 FreeRDP 伺服器版本在 DRDYNVC 剖析器中包含釋放後使用弱點，該弱點會在釋放同步鎖定後取消參照通道指標。經過驗證的用戶端可以針對 DRDYNVC 資料剖析爭用 AUDIN 通道關閉訊息，以在存取釋放的通道物件時觸發釋放後堆積使用。（CVE-2026-91947）

    之前的 3.31.0 FreeRDP 伺服器版本包含繞過通訊協定協商弱點，即使伺服器原則已停用，仍允許未經驗證的攻擊者建立 RDSTLS 連線。攻擊者可傳送不相容的通訊協定要求、接收協商失敗，然後完成 TLS 交握並輸入 RDSTLS 以繞過預先驗證傳輸限制。（CVE-2026-91949）

    FreeRDP 之前在 rdpdr_dump_packet 函 3.31.0 式中包含越界讀取弱點，這是因為緩衝區邊界驗證中的 32 位元無正負號整數循環。惡意RDP伺服器可傳送特製的 RDPDR 封包，並將 computerNameLen 設定為 0xFFFFFFF0，以繞過邊界檢查並觸發記憶體讀取通過封包緩衝區，導致用戶端當機或記錄中的堆積洩漏。（CVE-2026-91950）

    之前的 3.31.0 FreeRDP 版本在 nego_send_negotiation_request（） 中包含堆積緩衝區溢位弱點，無法在寫入固定的 512 位元組緩衝區之前驗證LB_LOAD_BALANCE_INFO欄位長度。惡意RDP伺服器或中間人可傳送具有過大 LB_LOAD_BALANCE_INFO 值的伺服器重新導向 PDU，使緩衝區因攻擊者控制的內容而溢位，在驗證完成之前造成拒絕服務或堆積損毀。
    (CVE-2026-91953)

    FreeRDP 之前 3.31.0 在 URBDRC 通道的 func_get_ep_desc 函式中包含越界讀取弱點，該弱點會依位置而不是通訊協定欄位 InterfaceNumber 來索引介面陣列。惡意RDP伺服器可傳送具有排列 InterfaceNumber 值的特製SELECT_CONFIGURATION訊息，以讀取超過配置的堆積記憶體，並使用戶端當機。（CVE-2026-91956）

    當裝置註冊後背景工作執行緒建立失敗時，FreeRDP 之前 3.31.0 在智慧卡 RDPDR 裝置處理常式中包含釋放後使用弱點。攻擊者可以在通道設定期間觸發執行緒建立失敗，導致裝置指標解除分配，而 devman 保留引用，進而導致當機或程式碼執行。（CVE-2026-91957）

    FreeRDP 版本在 3.31.0 剖析RDP連線檔案時無法驗證 MonitorIds 陣列值，從而允許在xf_detect_monitors中進行不受限制的陣列索引。攻擊者可以使用超出範圍的 selectedmonitors 值製作惡意 RDP 檔案，以便在 xfreerdp 中開啟時觸發越界堆積讀取和寫入作業。（CVE-2026-91958）

    FreeRDP 之前 3.31.0 在 RPC 閘道傳輸剖析器內的 rts_read_result 函式中包含緩衝區過度讀取弱點。攻擊者可傳送具有截斷結果項目的惡意BIND_ACK PDU，以觸發越界讀取，進而導致處理程序中止。（CVE-2026-91959）

    FreeRDP 之前 3.31.0 在 URBDRC 控制傳輸要求路徑中包含一個拒絕服務弱點，無法在轉送至 libusb 後端之前驗證 OutputBufferSize。惡意 RDP 伺服器可以傳送 OutputBufferSize 設定為 65536 的控制傳輸要求，觸發終止用戶端進程的可連線判斷提示。（CVE-2026-91961）

    之前的 3.31.0 FreeRDP 版本在 urbdrc USB 重新導向通道中包含未初始化的堆積記憶體洩漏弱點。惡意 RDP 伺服器可誘使 USB 傳輸失敗，從用戶端讀取未初始化的堆積記憶體，從而破壞 ASLR，並在與記憶體損毀弱點連結時啟用遠端程式碼執行。（CVE-2026-91963）

    之前的 3.31.0 FreeRDP 版本在處理具有攻擊者控制的 LoadBalanceInfo 欄位的伺服器重新導向 PDU 訊息時，nego_send_negotiation_request包含堆積型緩衝區溢位。惡意 RDP 伺服器可以透過傳送任意長度的欄位來觸發溢位，該欄位未經驗證就會寫入固定的 512 位元組緩衝區，從而在與記憶體洩漏連結時導致用戶端崩潰或潛在的程式碼執行。（CVE-2026-91964）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 freerdp 版本比 2.11.7-1 舊。因此，它會受到 ALAS2-2026-3938 公告中所提及的多個弱點影響。

    在 FreeRDP 中發現一個缺陷。此弱點允許具有低權限的遠端攻擊者將敏感資訊從伺服器或代理進程記憶體洩露給下游用戶端。發生這種情況的原因是，負責寫入儲存工作階段資訊通訊協定資料單位 （PDU） 的特定函式會針對保留的填補欄位使用 Stream_Seek，而不是Stream_Zero，導致傳輸未初始化的堆積記憶體，其中可能包含先前工作階段的純文字認證。（CVE-2026-85089）

    在 FreeRDP 中發現一個缺陷。色度平面重建期間 AVC444 的 'general_ChromaV1ToYUV444' 函式中存在堆積越界讀取弱點。遠端攻擊者充當惡意遠端桌面通訊協定 （RDP） 伺服器，可以透過傳送具有特定框架幾何形狀的特製「RFX_AVC444_BITMAP_STREAM」來利用這一點。這可能會導致越界記憶體讀取，進而可能將敏感堆積資料洩露給用戶端，或導致用戶端當機，進而造成拒絕服務。（CVE-2026-85090）

    之前的 3.31.0 FreeRDP 版本在 RDPGFX 伺服器的 ResetGraphics PDU 序列化程式中包含資訊洩漏弱點，無法以固定的 340 位元組連線格式初始化填補位元組。
    攻擊者可以接收未初始化的堆記憶體，包括在 PDU 中傳輸的即時指標和 GLib 函數位址，從而擊敗堆積 ASLR 並洩露 GLib 模組基址。（CVE-2026-91946）

    之前的 3.31.0 FreeRDP 伺服器版本在 DRDYNVC 剖析器中包含釋放後使用弱點，該弱點會在釋放同步鎖定後取消參照通道指標。經過驗證的用戶端可以針對 DRDYNVC 資料剖析爭用 AUDIN 通道關閉訊息，以在存取釋放的通道物件時觸發釋放後堆積使用。（CVE-2026-91947）

    之前的 3.31.0 FreeRDP 版本在 nego_send_negotiation_request（） 中包含堆積緩衝區溢位弱點，無法在寫入固定的 512 位元組緩衝區之前驗證LB_LOAD_BALANCE_INFO欄位長度。惡意RDP伺服器或中間人可傳送具有過大 LB_LOAD_BALANCE_INFO 值的伺服器重新導向 PDU，使緩衝區因攻擊者控制的內容而溢位，在驗證完成之前造成拒絕服務或堆積損毀。
    (CVE-2026-91953)

    FreeRDP 之前 3.31.0 在 URBDRC 通道的 func_get_ep_desc 函式中包含越界讀取弱點，該弱點會依位置而不是通訊協定欄位 InterfaceNumber 來索引介面陣列。惡意RDP伺服器可傳送具有排列 InterfaceNumber 值的特製SELECT_CONFIGURATION訊息，以讀取超過配置的堆積記憶體，並使用戶端當機。（CVE-2026-91956）

    當裝置註冊後背景工作執行緒建立失敗時，FreeRDP 之前 3.31.0 在智慧卡 RDPDR 裝置處理常式中包含釋放後使用弱點。攻擊者可以在通道設定期間觸發執行緒建立失敗，導致裝置指標解除分配，而 devman 保留引用，進而導致當機或程式碼執行。（CVE-2026-91957）

    FreeRDP 版本在 3.31.0 剖析RDP連線檔案時無法驗證 MonitorIds 陣列值，從而允許在xf_detect_monitors中進行不受限制的陣列索引。攻擊者可以使用超出範圍的 selectedmonitors 值製作惡意 RDP 檔案，以便在 xfreerdp 中開啟時觸發越界堆積讀取和寫入作業。（CVE-2026-91958）

    FreeRDP 之前 3.31.0 在 RPC 閘道傳輸剖析器內的 rts_read_result 函式中包含緩衝區過度讀取弱點。攻擊者可傳送具有截斷結果項目的惡意BIND_ACK PDU，以觸發越界讀取，進而導致處理程序中止。（CVE-2026-91959）

    之前的 3.31.0 FreeRDP 版本在 urbdrc USB 重新導向通道中包含未初始化的堆積記憶體洩漏弱點。惡意 RDP 伺服器可誘使 USB 傳輸失敗，從用戶端讀取未初始化的堆積記憶體，從而破壞 ASLR，並在與記憶體損毀弱點連結時啟用遠端程式碼執行。（CVE-2026-91963）

    之前的 3.31.0 FreeRDP 版本在處理具有攻擊者控制的 LoadBalanceInfo 欄位的伺服器重新導向 PDU 訊息時，nego_send_negotiation_request包含堆積型緩衝區溢位。惡意 RDP 伺服器可以透過傳送任意長度的欄位來觸發溢位，該欄位未經驗證就會寫入固定的 512 位元組緩衝區，從而在與記憶體洩漏連結時導致用戶端崩潰或潛在的程式碼執行。（CVE-2026-91964）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

したがって、ALAS2023-2026-2142 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.28.0の前に、認証されたRDPクライアントは、nBlockAlignが8に等しく、nChannelが2に等しいDVI ADPCMをアドバタイズし、channels/rdpsnd/server/rdpsnd_main.cのrdpsnd_server_select_formatの「bs」計算をゼロにすることができます。後続のout_framesモジュロ「bs」操作により、SIGFPE が呼び出され、サーバー側の rdpsnd チャネルプロセスが終了します。この脆弱性は 3.28.0 で修正されました。(CVE-2026-63117)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.28.0より前は、libfreerdp/codec/dsp.cのfreerdp_dsp_decode_opusは、opus_decodeがデコードされたPCMを呼び出し元指定の出力ストリームに書き込む場合でも、context->common.bufferでStream_EnsureRemainingCapacity呼び出します。悪意のある RDP サーバーが、WITH_OPUS を有効にして、WITH_DSP_FFMPEG を無効にして構築されたクライアントとWAVE_FORMAT_OPUSネゴシエーションを行うことで、channels/rdpsnd/client/rdpsnd_main.c が使用する 4096 バイトのStreamPool_Take宛先を超えて、libopus に大きなデコードされたフレームを書き込む可能性があります。これにより、クライアントヒープが破損したり、クライアントがクラッシュしたり、コードが実行される可能性があります。この問題はバージョン 3.28.0 で修正されています。(CVE-2026-63633)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.28.0より前に、channels/rdpsnd/server/rdpsnd_main.c のrdpsnd_server_recv_formatsは、所有ポインターまたはnum_client_formatsを消去せずに、無効な形式のクライアントオーディオフォーマット PDU のコンテキスト>client_formatsを解放します。認証された RDP クライアントが、残りのレコードよりも大きな cbSize などのエラーを発生させ、ダングリングポインターをサーバーコンテキストに残し、セッション終了時に rdpsnd_server_context_free に同じ割り当てを再び解放させる可能性があります。これによりサーバーが確実に終了し、アロケーター依存のヒープ破損が発生する可能性があります。この問題はバージョン 3.28.0 で修正されています。(CVE-2026-63652)

    FreeRDP はリモートデスクトッププロトコルの無料の実装です。3.29.0より前に、libfreerdp/codec/planar.cのplanar_decompress_plane_rleとplanar_decompress_plane_rle_onlyは制御バイトが存在することを検証しますが、ソースバッファにその制御バイトによって宣言された0〜15の生バイトが含まれていることは検証しません。悪意のある RDP サーバーが、切り捨てられた平面ビットマップまたはサーフェス更新を送信し、その最終制御バイトが追加の raw バイトを要求し、カラープレーンの処理中にデコーダーに pSrcData を超えて読み取りさせる可能性があります。これは、クライアントをクラッシュさせ、隣接メモリを漏洩させる可能性があります。この問題はバージョン 3.29.0 で修正されています。(CVE-2026-69159)

    FreeRDPに欠陥が見つかりました。この脆弱性により、権限が低いリモートの攻撃者が、サーバーまたはプロキシプロセスメモリからダウンストリームのクライアントに機密情報を漏洩する可能性があります。これは、Save Session Info Protocol Data Unit(PDU)の書き込みを担う特定の関数が、予約されたパディングフィールドにStream_ZeroではなくStream_Seekを使用し、前のセッションからのクリアテキストの認証情報を含む可能性のある初期化されていないヒープメモリの転送を引き起こすために発生しています。(CVE-2026-85089)

    FreeRDPに欠陥が見つかりました。AVC444 Chroma プレーンの再構築中に、「general_ChromaV1ToYUV444」関数にヒープ領域外読み取りの脆弱性が存在します。悪意のあるリモートデスクトッププロトコル(RDP)サーバーとして動作するリモートの攻撃者が、特定のフレームジオメトリを持つ特別に細工された「RFX_AVC444_BITMAP_STREAM」を送信することで、これを悪用する可能性があります。これにより、領域外メモリ読み取りが発生し、機密のヒープデータがクライアントに漏洩するか、クライアントをクラッシュさせてサービス拒否を引き起こす可能性があります。(CVE-2026-85090)

    3.31.0 より前の FreeRDP バージョンには、固定されたインライン配列に対する ATR 長フィールドの検証に失敗するスマートカード応答デコーダーの領域外読み取りの脆弱性があります。認証された RDP クライアントが、PAKID_CORE_DEVICE_IOCOMPLETION 応答で大き過ぎる ATR 長を送信し、スタックまたはヒープオブジェクトを越えた読み取りをトリガーし、プロセスを停止させる可能性があります。(CVE-2026-91945)

    3.31.0より前のFreeRDPバージョンでは、RDPGFXサーバーのResetGraphics PDUシリアライザーに情報漏えいの脆弱性があり、固定の340バイトのワイヤ形式でパディングバイトを初期化できません。
    攻撃者が、PDU で送信されたライブポインターと GLib 関数アドレスを含む初期化されていないヒープメモリを受け取り、ヒープ ASLR を打ち破り、GLib モジュールのベースアドレスを漏洩する可能性があります。(CVE-2026-91946)

    3.31.0より前のFreeRDPサーバーのバージョンでは、DRDYNVCパーサーにメモリ解放後使用(Use After Free)の脆弱性があり、同期ロックの解放後にチャネルポインターをデリファレンスします。認証されたクライアントが、AUDIN チャネル終了メッセージを DRDYNVC データ解析に対して競合させ、解放されたチャネルオブジェクトにアクセスする際に heap-use-after-free を発生させる可能性があります。(CVE-2026-91947)

    3.31.0より前のバージョンのFreeRDPサーバーには、プロトコルネゴシエーションバイパスの脆弱性があり、サーバーポリシーでRDSTLS接続が無効になっているにも関わらず、認証されていない攻撃者がRDSTLS接続を確立する可能性があります。攻撃者が、互換性のないプロトコルリクエストを送信し、ネゴシエーションの失敗を受信し、TLSハンドシェイクを完了してRDSTLSを入力して、事前認証の転送制限をバイパスする可能性があります。(CVE-2026-91949)

    3.31.0より前のFreeRDPには、バッファ境界検証における32ビットの符号なし整数ラップアラウンドにより、rdpdr_dump_packet関数に領域外読み取りの脆弱性があります。悪意のあるRDPサーバーが、computerNameLen が 0xFFFFFFF0 に設定された細工された RDPDR パケットを送信し、境界チェックをバイパスし、パケットバッファを超えてメモリ読み取りを発生させ、クライアントのクラッシュまたはログのヒープ漏洩を引き起こす可能性があります。(CVE-2026-91950)

    3.31.0より前のFreeRDPバージョンには、nego_send_negotiation_request()にヒープバッファオーバーフローの脆弱性があり、固定された512バイトのバッファに書き込む前にLB_LOAD_BALANCE_INFOフィールド長を検証できません。悪意のあるRDPサーバーや中間者が、オーバーサイズのLB_LOAD_BALANCE_INFO値を持つサーバーリダイレクトPDUを送信し、攻撃者が制御するコンテンツでバッファをオーバーフローさせ、認証が完了する前にサービス拒否またはヒープ破損を引き起こす可能性があります。
    (CVE-2026-91953)

    3.31.0より前のFreeRDPには、プロトコルフィールドInterfaceNumberではなく位置によってインターフェイス配列をインデックス化するURBDRCチャンネルのfunc_get_ep_desc関数に、領域外読み取りの脆弱性があります。悪意のある RDP サーバーが、順番換えられた InterfaceNumber 値を含む細工された SELECT_CONFIGURATION メッセージを送信し、割り当てられたヒープメモリを超えて読み取り、クライアントをクラッシュさせる可能性があります。(CVE-2026-91956)

    3.31.0より前のFreeRDPには、デバイスの登録後にワーカースレッドの作成が失敗したとき、スマートカードRDPDRデバイスハンドラーにメモリ解放後使用(use-after-free)の脆弱性があります。攻撃者がチャネル設定中にスレッド作成の失敗をトリガーし、devmanが参照を保持している間にデバイスポインターの割り当て解除を引き起こし、クラッシュまたはコード実行を引き起こす可能性があります。(CVE-2026-91957)

    3.31.0より前のFreeRDPバージョンは、RDP接続ファイルを解析するときにMonitorIds配列値を検証できないため、xf_detect_monitorsで無制限の配列インデックス作成が可能になります。攻撃者が領域外のselectedmonitors値を持つ悪意のあるRDPファイルを作成し、xfreerdpで開かれたときに領域外ヒープ読み取りおよび書き込み操作を引き起こす可能性があります。(CVE-2026-91958)

    3.31.0より前のFreeRDPには、RPCゲートウェイトランスポートパーサー内のrts_read_result関数にバッファオーバーリードの脆弱性があります。攻撃者が、切り捨てられた結果エントリを含む悪意のあるBIND_ACK PDUを送信し、領域外読み取りをトリガーし、プロセスの中止を引き起こす可能性があります。(CVE-2026-91959)

    FreeRDP before 3.31.0 では、URBDRC コントロール転送リクエストパスにサービス拒否の脆弱性が含まれており、libusb バックエンドに転送する前に OutputBufferSize を検証できません。悪意のある RDP サーバーが OutputBufferSize を 65536 に設定して制御転送リクエストを送信し、到達可能なアサーションをトリガーしてクライアントプロセスを終了させる可能性があります。(CVE-2026-91961)

    3.31.0 より前の FreeRDP バージョンでは、urbdrc USB リダイレクトチャネルに初期化されていないヒープメモリ漏洩の脆弱性があります。悪意のある RDP サーバーが、USB 転送の失敗を誘発して、クライアントから初期化されていないヒープメモリを読み取ることで、ASLR を無効にし、メモリ破損の脆弱性に連鎖しているときにリモートコードの実行を可能にする可能性があります。(CVE-2026-91963)

    3.31.0より前のFreeRDPバージョンには、攻撃者が制御するLoadBalanceInfoフィールドを持つサーバーリダイレクトPDUメッセージを処理するとき、nego_send_negotiation_requestにヒープベースのバッファオーバーフローがあります。悪意のある RDP サーバーが、検証なしで固定 512 バイトのバッファに書き込まれる任意の長さのフィールドを送信することでオーバーフローを発生させ、メモリ漏洩と連鎖させられたときにクライアントのクラッシュやコードの実行を引き起こす可能性があります。(CVE-2026-91964)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている freerdp のバージョンは、2.11.7-1 より前です。したがって、ALAS2-2026-3938 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    FreeRDPに欠陥が見つかりました。この脆弱性により、権限が低いリモートの攻撃者が、サーバーまたはプロキシプロセスメモリからダウンストリームのクライアントに機密情報を漏洩する可能性があります。これは、Save Session Info Protocol Data Unit(PDU)の書き込みを担う特定の関数が、予約されたパディングフィールドにStream_ZeroではなくStream_Seekを使用し、前のセッションからのクリアテキストの認証情報を含む可能性のある初期化されていないヒープメモリの転送を引き起こすために発生しています。(CVE-2026-85089)

    FreeRDPに欠陥が見つかりました。AVC444 Chroma プレーンの再構築中に、「general_ChromaV1ToYUV444」関数にヒープ領域外読み取りの脆弱性が存在します。悪意のあるリモートデスクトッププロトコル(RDP)サーバーとして動作するリモートの攻撃者が、特定のフレームジオメトリを持つ特別に細工された「RFX_AVC444_BITMAP_STREAM」を送信することで、これを悪用する可能性があります。これにより、領域外メモリ読み取りが発生し、機密のヒープデータがクライアントに漏洩するか、クライアントをクラッシュさせてサービス拒否を引き起こす可能性があります。(CVE-2026-85090)

    3.31.0より前のFreeRDPバージョンでは、RDPGFXサーバーのResetGraphics PDUシリアライザーに情報漏えいの脆弱性があり、固定の340バイトのワイヤ形式でパディングバイトを初期化できません。
    攻撃者が、PDU で送信されたライブポインターと GLib 関数アドレスを含む初期化されていないヒープメモリを受け取り、ヒープ ASLR を打ち破り、GLib モジュールのベースアドレスを漏洩する可能性があります。(CVE-2026-91946)

    3.31.0より前のFreeRDPサーバーのバージョンでは、DRDYNVCパーサーにメモリ解放後使用(Use After Free)の脆弱性があり、同期ロックの解放後にチャネルポインターをデリファレンスします。認証されたクライアントが、AUDIN チャネル終了メッセージを DRDYNVC データ解析に対して競合させ、解放されたチャネルオブジェクトにアクセスする際に heap-use-after-free を発生させる可能性があります。(CVE-2026-91947)

    3.31.0より前のFreeRDPバージョンには、nego_send_negotiation_request()にヒープバッファオーバーフローの脆弱性があり、固定された512バイトのバッファに書き込む前にLB_LOAD_BALANCE_INFOフィールド長を検証できません。悪意のあるRDPサーバーや中間者が、オーバーサイズのLB_LOAD_BALANCE_INFO値を持つサーバーリダイレクトPDUを送信し、攻撃者が制御するコンテンツでバッファをオーバーフローさせ、認証が完了する前にサービス拒否またはヒープ破損を引き起こす可能性があります。
    (CVE-2026-91953)

    3.31.0より前のFreeRDPには、プロトコルフィールドInterfaceNumberではなく位置によってインターフェイス配列をインデックス化するURBDRCチャンネルのfunc_get_ep_desc関数に、領域外読み取りの脆弱性があります。悪意のある RDP サーバーが、順番換えられた InterfaceNumber 値を含む細工された SELECT_CONFIGURATION メッセージを送信し、割り当てられたヒープメモリを超えて読み取り、クライアントをクラッシュさせる可能性があります。(CVE-2026-91956)

    3.31.0より前のFreeRDPには、デバイスの登録後にワーカースレッドの作成が失敗したとき、スマートカードRDPDRデバイスハンドラーにメモリ解放後使用(use-after-free)の脆弱性があります。攻撃者がチャネル設定中にスレッド作成の失敗をトリガーし、devmanが参照を保持している間にデバイスポインターの割り当て解除を引き起こし、クラッシュまたはコード実行を引き起こす可能性があります。(CVE-2026-91957)

    3.31.0より前のFreeRDPバージョンは、RDP接続ファイルを解析するときにMonitorIds配列値を検証できないため、xf_detect_monitorsで無制限の配列インデックス作成が可能になります。攻撃者が領域外のselectedmonitors値を持つ悪意のあるRDPファイルを作成し、xfreerdpで開かれたときに領域外ヒープ読み取りおよび書き込み操作を引き起こす可能性があります。(CVE-2026-91958)

    3.31.0より前のFreeRDPには、RPCゲートウェイトランスポートパーサー内のrts_read_result関数にバッファオーバーリードの脆弱性があります。攻撃者が、切り捨てられた結果エントリを含む悪意のあるBIND_ACK PDUを送信し、領域外読み取りをトリガーし、プロセスの中止を引き起こす可能性があります。(CVE-2026-91959)

    3.31.0 より前の FreeRDP バージョンでは、urbdrc USB リダイレクトチャネルに初期化されていないヒープメモリ漏洩の脆弱性があります。悪意のある RDP サーバーが、USB 転送の失敗を誘発して、クライアントから初期化されていないヒープメモリを読み取ることで、ASLR を無効にし、メモリ破損の脆弱性に連鎖しているときにリモートコードの実行を可能にする可能性があります。(CVE-2026-91963)

    3.31.0より前のFreeRDPバージョンには、攻撃者が制御するLoadBalanceInfoフィールドを持つサーバーリダイレクトPDUメッセージを処理するとき、nego_send_negotiation_requestにヒープベースのバッファオーバーフローがあります。悪意のある RDP サーバーが、検証なしで固定 512 バイトのバッファに書き込まれる任意の長さのフィールドを送信することでオーバーフローを発生させ、メモリ漏洩と連鎖させられたときにクライアントのクラッシュやコードの実行を引き起こす可能性があります。(CVE-2026-91964)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.31.0 より前のFreeRDPには、 AVC444 クロマプレーンの再構築中のgeneral_ChromaV1ToYUV444関数にヒープ領域外読み取りの脆弱性があります。悪意のあるRDPサーバーが、特定のフレームジオメトリを持つRFX_AVC444_BITMAP_STREAMを作成し、割り当てられたルミナンスプレーンを超えた領域外メモリ読み取りをトリガーする可能性があります。(CVE-2026-85090)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The version of freerdp installed on the remote host is prior to 2.11.7-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2026-3938 advisory.

    A flaw was found in FreeRDP. This vulnerability allows a remote attacker with low privileges to disclose     sensitive information from the server or proxy process memory to a downstream client. This occurs because     certain functions responsible for writing Save Session Info Protocol Data Units (PDUs) use Stream_Seek     instead of Stream_Zero for reserved padding fields, leading to the transmission of uninitialized heap     memory that may contain cleartext credentials from previous sessions. (CVE-2026-85089)

    A flaw was found in FreeRDP. A heap out-of-bounds read vulnerability exists in the     `general_ChromaV1ToYUV444` function during AVC444 chroma plane reconstruction. A remote attacker, acting     as a malicious Remote Desktop Protocol (RDP) server, can exploit this by sending a specially crafted     `RFX_AVC444_BITMAP_STREAM` with specific frame geometry. This can lead to an out-of-bounds memory read,     potentially disclosing sensitive heap data to the client or causing a client crash, resulting in a denial     of service. (CVE-2026-85090)

    FreeRDP versions before 3.31.0 contain an information disclosure vulnerability in the RDPGFX server's     ResetGraphics PDU serializer that fails to initialize padding bytes in the fixed 340-byte wire format.
    Attackers can receive uninitialized heap memory including live pointers and GLib function addresses     transmitted in the PDU, defeating heap ASLR and disclosing the GLib module base address. (CVE-2026-91946)

    FreeRDP server versions before 3.31.0 contain a use-after-free vulnerability in the DRDYNVC parser that     dereferences a channel pointer after releasing the synchronization lock. Authenticated clients can race     AUDIN channel closure messages against DRDYNVC data parsing to trigger heap-use-after-free when accessing     freed channel objects. (CVE-2026-91947)

    FreeRDP versions before 3.31.0 contain a heap buffer overflow vulnerability in     nego_send_negotiation_request() that fails to validate the LB_LOAD_BALANCE_INFO field length before     writing to a fixed 512-byte buffer. A malicious RDP server or man-in-the-middle can send a Server     Redirection PDU with an oversized LB_LOAD_BALANCE_INFO value to overflow the buffer with attacker-     controlled content, causing denial of service or heap corruption before authentication completes.
    (CVE-2026-91953)

    FreeRDP before 3.31.0 contains an out-of-bounds read vulnerability in the URBDRC channel's     func_get_ep_desc function that indexes interface arrays by position instead of protocol field     InterfaceNumber. A malicious RDP server can send a crafted SELECT_CONFIGURATION message with permuted     InterfaceNumber values to read past allocated heap memory and crash the client. (CVE-2026-91956)

    FreeRDP before 3.31.0 contains a use-after-free vulnerability in the smartcard RDPDR device handler when     worker thread creation fails after device registration. Attackers can trigger thread creation failure     during channel setup to cause device pointer deallocation while devman retains a reference, leading to     crash or code execution. (CVE-2026-91957)

    FreeRDP versions before 3.31.0 fail to validate MonitorIds array values when parsing RDP connection files,     allowing unbounded array indexing in xf_detect_monitors. Attackers can craft a malicious RDP file with an     out-of-range selectedmonitors value to trigger out-of-bounds heap read and write operations when opened in     xfreerdp. (CVE-2026-91958)

    FreeRDP before 3.31.0 contains a buffer over-read vulnerability in the rts_read_result function within the     RPC gateway transport parser. Attackers can send a malicious BIND_ACK PDU with a truncated result entry to     trigger an out-of-bounds read causing process abort. (CVE-2026-91959)

    FreeRDP versions before 3.31.0 contain an uninitialized heap memory disclosure vulnerability in the urbdrc     USB redirection channel. A malicious RDP server can induce failing USB transfers to read uninitialized     heap memory from the client, defeating ASLR and enabling remote code execution when chained with memory     corruption vulnerabilities. (CVE-2026-91963)

    FreeRDP versions before 3.31.0 contain a heap-based buffer overflow in nego_send_negotiation_request when     processing Server Redirection PDU messages with attacker-controlled LoadBalanceInfo fields. A malicious     RDP server can trigger the overflow by sending an arbitrary-length field that gets written to a fixed     512-byte buffer without validation, causing client crashes or potential code execution when chained with     memory disclosure. (CVE-2026-91964)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2142 advisory.

    FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.28.0, an authenticated RDP     client can advertise DVI ADPCM with nBlockAlign equal to 8 and nChannels equal to 2 to make the `bs`     calculation in rdpsnd_server_select_format in channels/rdpsnd/server/rdpsnd_main.c equal zero. The     subsequent out_frames modulo `bs` operation raises SIGFPE and terminates the server-side rdpsnd channel     process. This vulnerability fixed in 3.28.0. (CVE-2026-63117)

    FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.28.0, freerdp_dsp_decode_opus     in libfreerdp/codec/dsp.c calls Stream_EnsureRemainingCapacity on context->common.buffer even though     opus_decode writes decoded PCM into the caller-supplied out stream. A malicious RDP server that negotiates     WAVE_FORMAT_OPUS with a client built with WITH_OPUS enabled and WITH_DSP_FFMPEG disabled can make libopus     write a large decoded frame beyond the 4096-byte StreamPool_Take destination used by     channels/rdpsnd/client/rdpsnd_main.c. This can corrupt the client heap, crash the client, and may permit     code execution. This issue is fixed in version 3.28.0. (CVE-2026-63633)

    FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.28.0,     rdpsnd_server_recv_formats in channels/rdpsnd/server/rdpsnd_main.c frees context->client_formats on a     malformed Client Audio Formats PDU without clearing the owning pointer or num_client_formats. An     authenticated RDP client can trigger an error such as a cbSize larger than the remaining record, leave the     dangling pointer in the server context, and cause rdpsnd_server_context_free to free the same allocation     again at session teardown. This reliably terminates the server and can create allocator-dependent heap     corruption. This issue is fixed in version 3.28.0. (CVE-2026-63652)

    FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.29.0,     planar_decompress_plane_rle and planar_decompress_plane_rle_only in libfreerdp/codec/planar.c verify that     a control byte exists but do not verify that the source buffer contains the zero to fifteen raw bytes     declared by that control byte. A malicious RDP server can send a truncated planar bitmap or surface update     whose final control byte claims additional raw bytes, causing the decoder to read beyond pSrcData while     processing a color plane. This can crash the client and may disclose adjacent memory. This issue is fixed     in version 3.29.0. (CVE-2026-69159)

    A flaw was found in FreeRDP. This vulnerability allows a remote attacker with low privileges to disclose     sensitive information from the server or proxy process memory to a downstream client. This occurs because     certain functions responsible for writing Save Session Info Protocol Data Units (PDUs) use Stream_Seek     instead of Stream_Zero for reserved padding fields, leading to the transmission of uninitialized heap     memory that may contain cleartext credentials from previous sessions. (CVE-2026-85089)

    A flaw was found in FreeRDP. A heap out-of-bounds read vulnerability exists in the     `general_ChromaV1ToYUV444` function during AVC444 chroma plane reconstruction. A remote attacker, acting     as a malicious Remote Desktop Protocol (RDP) server, can exploit this by sending a specially crafted     `RFX_AVC444_BITMAP_STREAM` with specific frame geometry. This can lead to an out-of-bounds memory read,     potentially disclosing sensitive heap data to the client or causing a client crash, resulting in a denial     of service. (CVE-2026-85090)

    FreeRDP versions before 3.31.0 contain an out-of-bounds read vulnerability in smartcard response decoders     that fail to validate ATR length fields against fixed inline arrays. Authenticated RDP clients can send     oversized ATR lengths in PAKID_CORE_DEVICE_IOCOMPLETION responses to trigger reads past stack or heap     objects, causing process termination. (CVE-2026-91945)

    FreeRDP versions before 3.31.0 contain an information disclosure vulnerability in the RDPGFX server's     ResetGraphics PDU serializer that fails to initialize padding bytes in the fixed 340-byte wire format.
    Attackers can receive uninitialized heap memory including live pointers and GLib function addresses     transmitted in the PDU, defeating heap ASLR and disclosing the GLib module base address. (CVE-2026-91946)

    FreeRDP server versions before 3.31.0 contain a use-after-free vulnerability in the DRDYNVC parser that     dereferences a channel pointer after releasing the synchronization lock. Authenticated clients can race     AUDIN channel closure messages against DRDYNVC data parsing to trigger heap-use-after-free when accessing     freed channel objects. (CVE-2026-91947)

    FreeRDP server versions before 3.31.0 contain a protocol negotiation bypass vulnerability that allows     unauthenticated attackers to establish RDSTLS connections despite server policy disabling them. Attackers     can send incompatible protocol requests, receive negotiation failures, then complete TLS handshake and     enter RDSTLS to bypass pre-authentication transport restrictions. (CVE-2026-91949)

    FreeRDP before 3.31.0 contains an out-of-bounds read vulnerability in the rdpdr_dump_packet function due     to 32-bit unsigned integer wraparound in buffer bounds validation. A malicious RDP server can send a     crafted RDPDR packet with computerNameLen set to 0xFFFFFFF0 to bypass bounds checks and trigger memory     reads past the packet buffer, causing client crashes or heap disclosure in logs. (CVE-2026-91950)

    FreeRDP versions before 3.31.0 contain a heap buffer overflow vulnerability in     nego_send_negotiation_request() that fails to validate the LB_LOAD_BALANCE_INFO field length before     writing to a fixed 512-byte buffer. A malicious RDP server or man-in-the-middle can send a Server     Redirection PDU with an oversized LB_LOAD_BALANCE_INFO value to overflow the buffer with attacker-     controlled content, causing denial of service or heap corruption before authentication completes.
    (CVE-2026-91953)

    FreeRDP before 3.31.0 contains an out-of-bounds read vulnerability in the URBDRC channel's     func_get_ep_desc function that indexes interface arrays by position instead of protocol field     InterfaceNumber. A malicious RDP server can send a crafted SELECT_CONFIGURATION message with permuted     InterfaceNumber values to read past allocated heap memory and crash the client. (CVE-2026-91956)

    FreeRDP before 3.31.0 contains a use-after-free vulnerability in the smartcard RDPDR device handler when     worker thread creation fails after device registration. Attackers can trigger thread creation failure     during channel setup to cause device pointer deallocation while devman retains a reference, leading to     crash or code execution. (CVE-2026-91957)

    FreeRDP versions before 3.31.0 fail to validate MonitorIds array values when parsing RDP connection files,     allowing unbounded array indexing in xf_detect_monitors. Attackers can craft a malicious RDP file with an     out-of-range selectedmonitors value to trigger out-of-bounds heap read and write operations when opened in     xfreerdp. (CVE-2026-91958)

    FreeRDP before 3.31.0 contains a buffer over-read vulnerability in the rts_read_result function within the     RPC gateway transport parser. Attackers can send a malicious BIND_ACK PDU with a truncated result entry to     trigger an out-of-bounds read causing process abort. (CVE-2026-91959)

    FreeRDP before 3.31.0 contains a denial-of-service vulnerability in the URBDRC control-transfer request     path that fails to validate OutputBufferSize before forwarding to the libusb backend. A malicious RDP     server can send a control-transfer request with OutputBufferSize set to 65536, triggering a reachable     assertion that terminates the client process. (CVE-2026-91961)

    FreeRDP versions before 3.31.0 contain an uninitialized heap memory disclosure vulnerability in the urbdrc     USB redirection channel. A malicious RDP server can induce failing USB transfers to read uninitialized     heap memory from the client, defeating ASLR and enabling remote code execution when chained with memory     corruption vulnerabilities. (CVE-2026-91963)

    FreeRDP versions before 3.31.0 contain a heap-based buffer overflow in nego_send_negotiation_request when     processing Server Redirection PDU messages with attacker-controlled LoadBalanceInfo fields. A malicious     RDP server can trigger the overflow by sending an arbitrary-length field that gets written to a fixed     512-byte buffer without validation, causing client crashes or potential code execution when chained with     memory disclosure. (CVE-2026-91964)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - FreeRDP before 3.31.0 contains a heap out-of-bounds read vulnerability in the general_ChromaV1ToYUV444     function during AVC444 chroma plane reconstruction. A malicious RDP server can craft a     RFX_AVC444_BITMAP_STREAM with specific frame geometry to trigger an out-of-bounds memory read past the     allocated luma plane. (CVE-2026-85090)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
342629	Linux Distros 未修补的漏洞：CVE-2026-85090	Nessus	Misc.	9/3/2026	11/6/2026	medium
342629	Linux Distros 未修補弱點：CVE-2026-85090	Nessus	Misc.	9/3/2026	11/6/2026	medium
345797	Amazon Linux 2023：freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2142)	Nessus	Amazon Linux Local Security Checks	9/14/2026	11/6/2026	critical
351037	Amazon Linux 2 : freerdp (ALAS-2026-3938)	Nessus	Amazon Linux Local Security Checks	9/29/2026	11/6/2026	high
345797	Amazon Linux 2023：freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2142)	Nessus	Amazon Linux Local Security Checks	9/14/2026	11/6/2026	critical
351037	Amazon Linux 2：freerdp (ALAS-2026-3938)	Nessus	Amazon Linux Local Security Checks	9/29/2026	11/6/2026	high
345797	Amazon Linux 2023 : freerdp、freerdp-devel、freerdp-libs (ALAS2023-2026-2142)	Nessus	Amazon Linux Local Security Checks	9/14/2026	11/6/2026	critical
351037	Amazon Linux 2 : freerdp (ALAS-2026-3938)	Nessus	Amazon Linux Local Security Checks	9/29/2026	11/6/2026	high
342629	Linux Distros のパッチ未適用の脆弱性: CVE-2026-85090	Nessus	Misc.	9/3/2026	11/6/2026	medium
351037	Amazon Linux 2 : freerdp (ALAS-2026-3938)	Nessus	Amazon Linux Local Security Checks	9/29/2026	11/6/2026	high
345797	Amazon Linux 2023 : freerdp, freerdp-devel, freerdp-libs (ALAS2023-2026-2142)	Nessus	Amazon Linux Local Security Checks	9/14/2026	11/6/2026	critical
342629	Linux Distros Unpatched Vulnerability : CVE-2026-85090	Nessus	Misc.	9/3/2026	11/6/2026	medium

Detections

Analytics

Plugins Search

medium

medium

critical

high

critical

high

critical

high

medium

high

critical

medium