ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de FreeRDP

Alerta 2026-141 Vulnerabilidades críticas en FreeRDP

Producto(s) afectado(s): 

ProductoVersiones afectadas
FreeRDPAnteriores a 3.32.2
FreeRDP proxy (freerdp-proxy) — CVE-2026-121952≤ 3.32.1, con el proxy habilitado
FreeRDP cliente con canal rdpgfx — CVE-2026-121953≤ 3.32.1, con el pipeline gráfico / rdpgfx cargado

Las aplicaciones que integran FreeRDP quedan expuestas si enlazan una biblioteca anterior a 3.32.2.

Descripción

Se han publicado dos vulnerabilidades de severidad crítica en FreeRDP, una implementación libre del protocolo RDP usada como cliente, servidor y proxy. Ambas han sido etiquetadas con CVSSv3.1 9.8 (CRÍTICO) y CVSSv4 9.3 (CRÍTICO). Quedan corregidas en FreeRDP 3.32.2, publicada el 12/10/2026; los identificadores CVE se asignaron el 04/11/2026.

CVE-2026-121952 es una escritura fuera de límites en el proxy al manejar la capacidad Bitmap Cache v2. El proyecto indicó que un cliente que se conecta al proxy puede declarar un número inválido de celdas de caché de mapa de bits y provocar corrupción de memoria en el proceso del proxy, filtración de datos hacia el servidor backend o la caída del servicio. El vector del CNA indica red, baja complejidad y sin privilegios ni interacción del usuario. Si la configuración del proxy exige autenticación, el atacante debe autenticarse primero.

CVE-2026-121953 es un use-after-free en el cliente, en el canal dinámico gráfico rdpgfx. Investigadores señalan que un servidor RDP malicioso o comprometido puede, tras el handshake y con rdpgfx activo, provocar un use-after-free que deriva en la caída del cliente o, potencialmente, en ejecución de código. El vector del CNA también marca sin privilegios ni interacción del usuario; en la práctica el cliente debe establecer sesión hacia ese servidor. La misma causa raíz también afecta al canal de audio rdpsnd.

La misma versión 3.32.2 corrige un conjunto amplio de avisos de seguridad del proyecto (decenas de GHSA) y otras CVE del lote, entre ellas un bypass de validación de identidad de certificado TLS (CVE-2026-121392, CVSSv4 9.1 / CVSSv3.1 7.4) que permite a un atacante en posición de intermediario con un certificado emitido por una CA ya confiada por el cliente interceptar la sesión RDP, y varias fallas adicionales de corrupción de memoria y denegación de servicio (CVE-2026-121950 a CVE-2026-121964).

Al 04/11/2026 no figuran en catálogos de vulnerabilidades explotadas conocidas y aún no tienen puntaje EPSS. Los avisos del proyecto incluyen pruebas de concepto de reproducción. No hay reportes confirmados de explotación activa.

Mitigación

El proyecto no publicó soluciones alternativas distintas de actualizar. Se recomienda:

  • Actualizar FreeRDP (cliente, servidor y proxy) a 3.32.2 o superior, o al paquete corregido de la distribución.
  • Si se usa freerdp-proxy, no exponerlo a Internet; restringirlo a redes de administración o VPN y exigir autenticación.
  • Evitar conexiones de clientes FreeRDP a servidores RDP no confiables; validar certificados y no ignorar advertencias.
  • Inventariar aplicaciones que integran libfreerdp y actualizarlas o recompilarlas contra 3.32.2 o posterior.
  • En Debian, priorizar paquetes ≥ 3.32.2+dfsg-1 donde estén disponibles; según la distribución, trixie (freerdp3) y freerdp2 siguen vulnerables.
  • En RHEL 10, aplicar el paquete freerdp-3.32.2-1.el10_2 (RHSA-2026:94514), que entrega la versión corregida.

Solución

La solución consiste en actualizar FreeRDP a la versión 3.32.2 o posterior, que corrige CVE-2026-121952, CVE-2026-121953 y el resto del lote de seguridad del release. En entornos empaquetados, instalar el paquete corregido de la distribución (por ejemplo freerdp 3.32.2 en Debian forky/sid o freerdp-3.32.2-1.el10_2 en RHEL 10).

Para info sobre cómo actualizar, visita el siguiente enlace:

https://github.com/FreeRDP/FreeRDP/releases/tag/3.32.2

Información adicional: