検索NeSC を見る
脆弱性・CVE速報深刻度: 高

FreeRDP の TLS 証明書の本人確認に欠陥（CVE-2026-121392）: CVSS 7.4、3.32.1 以前で中間者が RDP 接続を盗聴できる

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-121392

オープンソースの RDP（リモートデスクトップ）クライアント／ライブラリ「FreeRDP」に、接続先サーバーの TLS 証明書の本人確認が不十分になる欠陥（CVE-2026-121392）が公表されました。サブジェクト代替名（SAN）に一致する名前がなくても共通名（CN）が一致すれば通してしまうこと、IP アドレスで接続したときに DNS 名の文字列と照合してしまうことが原因です。クライアントが信頼する認証局（CA）から発行された証明書を持つ中間者は、サーバーになりすまして RDP のセッション（画面・キー入力・クリップボード）を盗み見られます。NVD に載っている CVSS v3.1 は 7.4（AV:N/AC:H/PR:N/UI:N、評価元は VulnCheck）です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。修正版は 3.32.2 です。

概要

項目内容
問題クライアント側の証明書検証 tls_verify_certificate() の不備（CWE-295）。SAN に一致する名前がなくても CN が一致すれば通す。IP アドレス接続時に DNS 名の文字列と照合する
攻撃条件ネットワーク経由で認証は不要だが、攻撃者がクライアントの信頼する CA から発行された証明書を持ち、通信経路の途中に入れる必要がある（AC:H）
影響接続先のなりすましによる RDP セッションの盗聴・改ざん（機密性・完全性が高、可用性は影響なし）。画面表示、キー入力、クリップボードが対象
CVSS v3.17.4（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N、評価元は VulnCheck）。CVSS v4.0 では 9.1（同じ評価元）
EPSS取得時点（2026-11-04）では FIRST にデータなし
CISA KEV載っていない（2026-11-04 時点）
対象FreeRDP 3.32.1 以前（NVD の記載は 3.32.2 より前）
修正版3.32.2

FreeRDP は、Linux の Remmina などの RDP クライアントや、多くのリモート接続ソフトが内部で使っているライブラリです。GitHub の勧告によると、以前の勧告（修正版 3.29.0）では「証明書の本人確認の弱点 3 件を直した」とされていましたが、実際の修正は文字列に NUL 文字を埋め込んで途中で切る手口だけで、今回の CN への切り替わりと IP アドレスの照合の 2 件は直っていなかったとされています。この 2 件を 3.32.2 で扱った、という位置づけです。

なぜ重要か

RDP は社内の管理作業にも広く使われ、接続先でパスワードや機密情報を入力する場面が多い通信です。クライアントが接続先の本人確認を誤ると、利用者は警告なしで偽のサーバーに接続し、入力内容や画面を相手に渡してしまいます。

ただし、攻撃のハードルは低くありません。攻撃者は、クライアントが信頼する CA が発行した証明書（誤発行された証明書、侵害された CA、組織内の不正な CA など）を持ち、かつ通信経路の途中に入れる必要があります。勧告も「コード実行や認証情報の取り出しは主張していない」としています。本サイトの基準では、認証不要かつ CVSS 9 以上を critical としますが、CVSS v3.1 は 7.4 で、成立条件も厳しいため high とします。KEV にも載っておらず、悪用の報告は確認できていません。

対策

  • FreeRDP を 3.32.2 以降へ更新する。FreeRDP を同梱している Remmina などの製品は、各提供元の更新を確認する。
  • 更新までの間は、信頼できない回線（公衆の無線 LAN など）から RDP で接続しない。
  • RDP の接続先は、可能なかぎり DNS 名ではなく証明書のフィンガープリントを確認し、証明書が変わったときの警告を無視しない。
  • クライアントが信頼する CA の一覧を点検し、不要な CA を外す。

数値と出典（2026-11-04 時点）

項目内容
NVDUndergoing Analysis（分析中）。CVSS v3.1 7.4（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N）、評価元は VulnCheck。弱点の種類は CWE-295。公開は 2026-11-03
EPSSFIRST にまだデータなし（2026-11-04 取得）
KEV載っていない
出典NVD、FreeRDP の GitHub セキュリティ勧告（GHSA-jq25-3374-4262）、VulnCheck の勧告、FIRST、CISA KEV

未確認の点

  • 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
  • 3.32.2 の修正が CN の切り替えと IP アドレスの照合の 2 件を完全に直しているか。コードの中身までは確認できていない。
  • 修正版より古い 3.x 系列や 2.x 系列での扱い、各ディストリビューションの更新状況。
  • NVD の分析は未完了（Undergoing Analysis）で、評価が変わる可能性がある。
  • EPSS が未算出のため、悪用される見込みの数値は確認できていない。
  • 公開された悪用コードの有無。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-04）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事