FreeRDP のクリップボード画像（PNG・JPEG）の処理で、細工したデータを送るとクライアントが落ちる欠陥（CVE-2026-121386）: CVSS 7.5、3.32.2 未満（修正版 3.32.2）

FreeRDP（リモートデスクトップ接続の定番ライブラリ）の画像処理部品 WinPR に、細工した PNG や途中で切れた JPEG を渡すと、クライアントのプログラムが異常終了する欠陥（CVE-2026-121386）が公表されました。画像を読むときのエラー処理が抜けているため、クリップボードの画像データを受け取る場面で、悪意あるリモート側のサーバーや通信の途中に入り込んだ者が、接続中のクライアントを落とせます。NVD に載っている CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/A:H、評価元は VulnCheck）です。認証は不要ですが、影響は可用性（落ちること）だけで、CVSS も 9 未満のため severity は high です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。対象は 3.32.2 未満、修正版は 3.32.2 です。

概要

項目	内容
問題	画像を読む関数 winpr_read_png_from_buffer()（PNG）と winpr_convert_from_jpeg()（JPEG）が、libpng・libjpeg の失敗時に必要なエラー処理を設定していない（CWE-248、捕捉されない例外）
攻撃条件	悪意あるリモートデスクトップのサーバー、または通信の途中に入り込める者が、細工した画像をクリップボードのデータとして送る。ネットワーク経由で、利用者の操作は不要
影響	クライアントが異常終了する（PNG は abort、JPEG は exit）。機密性・完全性への影響は報告されていない
CVSS v3.1	7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H、評価元は VulnCheck）。CVSS v4.0 は 8.7（同じ評価元）
EPSS	取得時点（2026-11-04）では FIRST にデータなし
CISA KEV	載っていない（2026-11-04 時点）
対象	3.32.2 未満（NVD の記載）
修正	3.32.2

GitHub の勧告（GHSA-799q-hjgw-g55g）によると、PNG の読み取りは libpng のエラー処理（setjmp）を設定しておらず、不正な PNG で libpng が呼び出し先を見失って異常終了します。12 バイトの入力で再現できると説明されています。JPEG の読み取りは libjpeg の既定のエラー処理のままで、これが exit を直接呼ぶため、62 バイトの途中で切れた JPEG でプログラムが終了します。同じファイルの PNG 書き込み側は正しく書かれていて、読み取り側だけが抜けていた、という説明です。

どんな場合に危ないか

• FreeRDP 3.32.2 未満を使ったクライアント（xfreerdp など、または FreeRDP を組み込んだ製品）で、クリップボードの共有を有効にして、信頼できないサーバーへ接続する場合。
• 通信が守られていない経路を通る接続（中間者が入り込める環境）。
• 落ちるのはクライアント側で、サーバーやほかの利用者には及びません。ただし、接続が切れて作業中の内容を失う、繰り返し落として業務を妨げる、といった使われ方は考えられます。

対応

1. FreeRDP を 3.32.2 以降へ更新する。FreeRDP を同梱した製品は、提供元の更新を確認する。
2. 更新までは、信頼できないサーバーへの接続を避け、クリップボードの共有を切る。
3. 接続先の証明書を確認する。本サイトの FreeRDP CVE-2026-121392 の記事（TLS 証明書の確認不備）も参照。
4. クライアントが突然終了した場合は、直前の接続先とログを確認する。

未確認の点

• 悪用の有無・規模。現時点で攻撃の報告は確認できていない。
• クリップボードの共有を切った場合に、ほかの経路（画像を読む別の機能）から同じ欠陥へ到達できるか。
• 3.32.2 の修正が JPEG の書き込み側を含めて完全か。
• 3.32.2 より前の全版が対象か（NVD は下限なしと記載しているが、実際に確認した版は勧告に書かれた範囲のみ）。
• NVD の分析は未完了（Undergoing Analysis）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。