FreeRDP CVE-2026-121953・121952にCritical評価―クライアントとプロキシのメモリ破損

2026年11月4日UTC（日本時間5日未明）、FreeRDPのCVE-2026-121953とCVE-2026-121952が公表されました。初回の開発元告知は10月20日で、今回新しいのはCVEの公表です。対象は3.32.1以前、修正版は3.32.2。VulnCheckは両件をCVSS v4.0で9.3、Critical、開発元はHighと評価しています。

CVE-2026-121953はクライアント側のrdpgfx仮想チャネルで起きる解放後使用です。不正なRDPサーバーへ接続し、接続交渉を終えて該当チャネルが使われると、サーバーからの細工した通信で解放済みメモリを参照します。クライアントの異常終了やコード実行のおそれがあり、接続後の追加操作は必要ありません。

CVE-2026-121952はプロキシ側のビットマップキャッシュ設定で、件数の検証不足からヒープ領域の範囲外アクセスが発生する問題です。プロキシへ接続して所定のRDP交渉を進められる相手が入口となります。認証を必須にしたプロキシでは、その認証を通過する必要があると開発元は明記しています。

クライアントとプロキシの両方について3.32.2以降への更新を確認し、FreeRDPを組み込む製品では提供元の更新情報を確認してください。接続先サーバーを制限するだけではプロキシ側の対策にはなりません。公開された実証は脆弱性の成立を示すもので、公式告知に実際の悪用確認の記載はありません。