FreeRDP クライアント（32ビットビルド）の整数オーバーフローによるヒープ破壊

Critical（CVSS 9.8）に分類されるFreeRDP FreeRDP クライアント 3.28.0 未満（**32ビットビルドのみ**）の脆弱性です。リモートデスクトップ（RDP）のオープンソース実装 FreeRDP のクライアント側に、整数オーバーフローの欠陥がある。 欠陥があるのは `libfreerdp/core/orders.c` の `update_read_delta_points` で、攻撃者が制御できる点の個数に `sizeof(DELTA_POINT)` を掛ける処理が桁あふれを起こす。その結果、必要より小さいヒープ領域が確保され、初期化の段階でその外側へ書き込みが起きる。 **方向に注意が必要な脆弱性である。** 攻撃者になるのは接続先の RDP サーバー（悪意ある RDP ピア）で、被害を受けるのは接続しにいったクライアント側である。サーバーを守る話ではなく、踏み台や検証環境へ RDP でつなぐ側の話になる。 NVD の CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N）で Critical だが、**SUSE は同じCVEを CVSS v3 8.8 / v4 8.6 の Important と評価している**。評価が割れているのは、悪用に「攻撃者が用意した RDP サーバーへ被害者が接続する」という条件が要るためで、NVD の 9.8 をそのまま「無条件にリモートから落とせる」と読むと過大評価になる。 もうひとつの重要な限定が **32ビットビルドに限られる**点である。`size_t` が64ビットの環境では、この掛け算は現実的な点数では桁あふれしない。一般的な x86_64 のディストリビューション標準パッケージは64ビットビルドなので、そのままでは該当しないことが多い。該当しやすいのは、32ビットの組込み機器・古い ARM 環境・意図的に 32bit でビルドしている自前パッケージである。

**まず自分のビルドが32ビットかどうかを切り分ける。** ここを飛ばすと、該当しない環境の緊急対応に時間を使うことになる。`file $(which xfreerdp)` や `getconf LONG_BIT` で確認できる。64ビットであれば、本CVEの直接の対象外である（ただし同時に修正された CVE-2026-57157 / CVE-2026-57158 は別条件なので、更新自体は行う）。 修正は **FreeRDP 3.28.0**（2026年7月6日リリース）で、同リリースは CVE-2026-57156 / CVE-2026-57157 / CVE-2026-57158 の3件をまとめて修正している。したがって対応は「3.28.0 以上へ更新する」の一点で足りる。詳細は GitHub の公式アドバイザリ GHSA-v5wf-j8j4-77h7 に記載がある。 ディストリビューションのパッケージを使っている場合は、そのディストリの更新を待つことになる。openSUSE Tumbleweed は freerdp 3.28.0-1.1 以上で修正済み、SUSE Linux Enterprise 15 SP7 / 16.0 / 16.1 は本記事の確認時点で QA 段階、Fedora 43 は更新（2026-e2afc3151d）が出ている。 更新までの間の緩和策は、**信頼できない RDP サーバーへ接続しないこと**に尽きる。クライアント側の脆弱性なので、ネットワーク側でサーバーを守る設定では防げない。共有された `.rdp` ファイルや、URL から起動する RDP 接続を安易に開かない運用が実質的な防御になる。 なお Red Hat Enterprise Linux 9 系が配布しているのは freerdp 2.11.7 系で、RHSA-2026:16482 が対象としている8件のCVEに本CVEは含まれていない。2.x 系が本CVEの影響を受けるかどうかは、本記事の確認時点で Red Hat の一次情報から確認できなかったため、RHEL 環境では Red Hat のCVEページで最終確認すること。

FreeRDP FreeRDP クライアント 3.28.0 未満（**32ビットビルドのみ**） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-57156）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。