远程主机上安装的 freerdp 版本低于 2.11.7-1。因此，该软件受到 ALAS2-2026-3887 公告中提及的多个漏洞影响。

    之前 3.28.0 的 FreeRDP 将 RDP 文件中以正斜杠开头的行视为原始命令行选项，从而将整个 CLI 解析器表面暴露给不受信任的文件。攻击者可使用 /rdp2tcp、/cert：ignore 或 /drive 选项构建恶意 RDP 文件，以便在无需用户交互的情况下执行任意命令、绕过证书验证或泄露本地文件系统。（CVE-2026-64624）

    之前 3.29.0 的 FreeRDP（受影响版本 <= 3.28.0）在 tls_verify_certificate（）、tls_match_hostname（） 和 x509_utils_get_dns_names（） 中包含多个 TLS 证书标识验证漏洞。由于 FreeRDP 执行自定义公用名和 DNS SAN 字符串匹配，而不是使用 OpenSSL 的长度感知身份验证 API，因此它 (1) 会截断嵌入式 NUL 字节处的 DNS SAN 值（接受例如
    “victim.example\0.attacker.example”作为“victim.example”），(2) 即使存在不匹配的 DNS SAN 条目也接受匹配的公用名，以及 (3) 通过 DNS/CN 匹配接受 IP 文本目标，而不比较 iPAddress SAN。在受信任或错误发布的证书链下，能够提供此类证书的攻击者可绕过服务器身份验证，从而削弱 TLS 服务器身份验证。
    (CVE-2026-66402)

    之前的 FreeRDP 在 3.29.0 智能卡缓存请求解码器中包含空指针取消引用漏洞，这些解码器接受在SCARD_IOCTL_READCACHEA和SCARD_IOCTL_WRITECACHEA操作中针对 LookupName 的空 NDR 指针。当启用了智能卡仿真时，攻击者可能会发送带有 NULL 查找名称指针的特别构建的智能卡缓存请求，以在空指针上触发 strlen（），造成客户端进程终止。（CVE-2026-67288）

    之前 3.29.0 的 FreeRDP 版本（受影响版本 <= 3.28.0）未验证服务器控制的 RDP 重定向 TargetNetAddress 字段中的 CRLF 和控制字符。此值被复制到客户端的 ServerHostname 中，并且在客户端通过 HTTP 代理连接时，会不经过滤并通过 http_proxy_connect() 直接写入代理 CONNECT 请求行和主机标头。恶意或遭到破坏的 RDP 服务器可发送含有内嵌控制字符的特制重定向 PDU，从而向 HTTP 代理 CONNECT 请求中注入任意标头/请求。(CVE-2026-67289)

    （受影响版本 <=3.28.0） 之前3.29.0的 FreeRDP 在 libfreerdp/cache/glyph.c 的 update_process_glyph_fragments（）/glyph_cache_fragment_put（） 中包含堆越界读取。处理GLYPH_FRAGMENT_ADD更新时，代码会读取由服务器控制的单字节声明的片段大小，但在分配和复制如此多字节之前，未验证其是否适合接收到的剩余缓冲区。恶意 RDP 服务器可发送声明大小过大的短片段，造成客户端读取超出分配的缓冲区，从而导致越界读取和客户端崩溃。（CVE-2026-67291）

    （受影响版本 <= 3.28.0）之前3.29.0的 FreeRDP 包含错误证书主机名验证漏洞。TLS 主机名匹配程序（libfreerdp/crypto/tls.c 中的 tls_match_hostname（））将 *.example.com 等通配符模式视为匹配任何以 .example.com 结尾的主机名，因此其未正确接受 a.b.example.com 等多标签子域的通配符证书（OpenSSL 的 X509_check_host（） 拒绝））。这会削弱通配符证书情况下的 TLS 服务器认证。
    (CVE-2026-67293)

    之前 3.29.0 的 FreeRDP 在客户端服务器 TLS 身份验证期间未正确验证对等证书的扩展密钥使用 （EKU） 用途。在 x509_utils_verify（） 中，当服务器用途 （X509_PURPOSE_SSL_SERVER） 验证失败时，代码会回退到客户端用途和任意用途验证，因此可接受仅对 clientAuth 有效的受信任的主机名匹配证书作为 RDP 服务器证书。在依赖客户端和服务器证书之间的 EKU 分隔的环境中，这允许受信任的 CA 颁发的仅 clientAuth 证书绕过服务器证书目的验证。（CVE-2026-67294）

    之前 3.29.0 的 FreeRDP 无法正确验证驱动器重定向中服务器提供的 RDPDR 路径，从而允许攻击者访问配置的共享根以外的前缀同级路径。恶意 RDP 服务器可以通过发送绕过共享根目录边界检查的非根路径，对同级目录中的文件进行读取、写入、删除及枚举操作。(CVE-2026-67295)

    FreeRDP 版本和更旧版本 3.28.0 在服务器端的 RAIL 通道处理程序（channels/rail/server/rail_main.c 中的 rail_server_handle_messages（））中包含堆缓冲区溢出。在处理 RAIL PDU 标头时，代码会从对等机控制的 orderLength 字段中减去RAIL_PDU_HEADER_LENGTH，而不会首先验证 orderLength 至少为标头长度。对于 orderLength 值 0..3，这会导致无符号整数下溢到非常大，从而绕过 Stream_EnsureRemainingCapacity（） 容量检查（由于指针算术回绕），然后传递到 WTSVirtualChannelRead（），从而导致越界堆写入。恶意或遭到破坏的 RDP 客户端可利用此问题，损坏堆并使服务器崩溃。已在 FreeRDP 3.29.0中修复。（CVE-2026-67298）

    启用了 AsyncUpdate 时，之前的 FreeRDP 3.29.0 在用于 WINDOW_ICON_ORDER 的异步更新消息代理中包含客户端堆释放后使用（例如 xfreerdp /async-update）。在 update_message_WindowIcon（） 中，浅层 CopyMemory（） 会使用解析器拥有的 windowIcon->iconInfo 指针覆盖新分配的 lParam->iconInfo。在解析器回调返回后，update_recv_window_info_order（） 会释放 window_icon.iconInfo，但排队的异步消息仍会保留并在稍后调度该过时指针。恶意或遭到破坏的 RDP 服务器发送带有 WINDOW_ORDER_ICON 的特制 RAIL Window 备用辅助顺序，可触发释放后使用，导致内存损坏和客户端崩溃。（CVE-2026-67299）

    启用 AsyncUpdate 时，之前的 FreeRDP 3.29.0 在用于 RAIL WINDOW_STATE_ORDER 和 NOTIFY_ICON_STATE_ORDER 的异步更新消息代理中包含客户端堆释放后使用漏洞。当恶意或遭到破坏的 RDP 服务器发送特制的更新命令时，消息代理会浅层复制包含嵌套解析器拥有的指针（例如，titleInfo.string、windowRects、visibilityRects、图标缓冲区）的结构。回调返回后，解析器会释放这些嵌套缓冲区，因此排列的异步消息稍后会调度过时指针，从而可能造成内存损坏或客户端崩溃。
    (CVE-2026-67300)

    之前 3.29.0 的 FreeRDP 在 PolygonSC 和 PolygonCB 主要绘制订单的异步更新消息代理中包含越界读取漏洞。启用了 AsyncUpdate 时（例如 xfreerdp /async-update），update_message_PolygonSC（） 和 update_message_PolygonCB（） 会分配新的点数组，但是从订单结构的地址复制点数据，而不是从 polygonSC->points / polygonCB->points 复制点数据，从而导致客户端越界读取。恶意或遭到破坏的 RDP 服务器发送特制的 PolygonSC/PolygonCB 更新命令，可能会触发内存泄露或客户端崩溃。（CVE-2026-67301）

    FreeRDP 版本 3.28.0 及之前版本在 libfreerdp/codec/planar.c 中planar_decompress_plane_rle和planar_decompress_plane_rle_only的 RDP6 平面 RLE 位图解码器函数中包含一个越界读取漏洞。仅对 1 字节控制字节进行边界检查;在未验证源缓冲区是否包含后面的 0-15 攻击者声明的原始字节的情况下被读取。恶意或遭到破坏的 RDP 服务器可发送截断的平面编码位图或表面更新（可通过位图更新 PDU 和 RDPGFX 表面命令路径访问），造成客户端读取超出源缓冲区的末尾。此问题已在 FreeRDP 3.29.0中修复。（CVE-2026-67306）

    之前的 FreeRDP 3.29.0 在 ALSA、sndio、WinMM 和 OpenSL ES 后端的音频输入重定向通道 （audin） 中包含整数溢出漏洞，无法验证来自 RDP 服务器的 FramesPerPacket 参数。攻击者可提供恶意的 FramesPerPacket 值来造成分配大小回绕，从而在 ALSA 上导致基于堆的缓冲区溢出或在所有平台上拒绝服务。
    (CVE-2026-68580)

    FreeRDP 是远程桌面协议的免费实现。在 libfreerdp/codec/planar.c 中的 planar_decompress_plane_rle 和 planar_decompress_plane_rle_only 之前， 3.29.0会验证控制字节是否存在，但不会验证源缓冲区中是否包含该控制字节声明的 0 到 15 个原始字节。恶意 RDP 服务器可发送截断的平面位图或表面更新，其最终控制字节声明额外的原始字节，从而导致解码器在处理颜色平面时读取范围超过 pSrcData。这可导致客户端崩溃并可能泄露相邻内存。此问题已在 3.29.0 版本中修复。(CVE-2026-69159)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2 : freerdp (ALAS-2026-3887)

critical Nessus 插件 ID 341869

版本 1.3