JVNDB-2026-005490

FreeRDPにおける境界外書き込みに関する脆弱性

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、RLEプラナーデコードパスにおいて、`planar_decompress_plane_rle()`が`pDstData`の`((nYDst+y) * nDstStep) + (4*nXDst) + nChannel`に書き込む際に、`(nYDst+nSrcHeight)`が宛先の高さに収まるか、また`(nXDst+nSrcWidth)`が宛先のストライドに収まるかを検証していませんでした。`TempFormat != DstFormat`の場合、`pDstData`はデスクトップ用にサイズ設定された`planar-pTempData`になり、一方で`nYDst`は`is_within_surface()`によって表面に対してのみ検証されます。悪意のあるRDPサーバーはこれを悪用して、任意の攻撃者制御によるオフセットとピクセルデータによってFreeRDPクライアントのヒープ外書き込みを行うことができます。このOOB書き込みは一時バッファの終端から最大132,096バイトまで及び、brkヒープ（デスクトップサイズ128×128以下）上の隣接する`NSC_CONTEXT`構造体の`decode`関数ポインタが攻撃者制御のピクセルデータで上書きされ、制御フローに影響を与える破損（関数ポインタの上書き）が決定的なヒープレイアウト下で実証されました（`nsc-decode = 0xFF414141FF414141`）。この脆弱性はバージョン3.23.0で修正されています。

FreeRDP

• FreeRDP 3.23.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Out-of-bounds Write in freerdp  Advisory  FreeRDP/FreeRDP  GitHub

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2026-26965

1. National Vulnerability Database (NVD) : CVE-2026-26965
2. 関連文書 : [codec,planar] fix missing destination bounds checks  FreeRDP/FreeRDP@a0be5cb  GitHub

• [2026年03月02日]
    掲載