CVE-2026-67289: Kritisk hul i FreeRDP via HTTP-proxy
FreeRDP før 3.29.0 lader en ondsindet RDP-server injicere HTTP-headere gennem proxyforbindelser. Opdatér til 3.29.0.
Hvad er det?
CVE-2026-67289 er en fejl i FreeRDP, et open source-bibliotek der bruges af mange RDP-klienter til fjernskrivebord, blandt andet Remmina og xfreerdp på Linux og macOS. Fejlen ligger i, hvordan klienten håndterer en omdirigeringsbesked fra RDP-serveren. Serveren kan sende et felt kaldet TargetNetAddress med skjulte kontroltegn, herunder linjeskift (CRLF). Når klienten opretter forbindelse gennem en HTTP-proxy, bliver dette felt skrevet direkte ind i proxyforespørgslen uden at blive renset. Det gør det muligt at smugle ekstra HTTP-headere eller hele forespørgsler ind i den trafik, som proxyen sender videre. Fejltypen kaldes CRLF-injektion eller HTTP-request-splitting.
Hvem rammer det?
Det rammer virksomheder og kommuner, der bruger FreeRDP-baserede klienter, for eksempel Remmina eller xfreerdp på Linux- eller macOS-arbejdspladser, og som opretter RDP-forbindelser gennem en HTTP-proxy. Alle versioner af FreeRDP til og med 3.28.0 er sårbare. Det gælder også produkter, der bygger på FreeRDP som underliggende komponent, for eksempel visse fjernskrivebordsklienter og gateway-løsninger.
Hvad kan ske?
En ondsindet eller kompromitteret RDP-server kan sende en manipuleret omdirigeringsbesked til klienten. Hvis klienten forbinder gennem en HTTP-proxy, kan angriberen injicere ekstra headere eller forespørgsler i den trafik, proxyen sender videre. Det kan bruges til at omgå proxyens adgangskontrol, sende data til uautoriserede mål eller skjule trafik i en gyldig proxysession. For en dansk virksomhed betyder det, at en tilsyneladende almindelig RDP-forbindelse kan blive brugt som kanal til at bryde ud af proxyens sikkerhedszone.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Sårbarheden kræver ikke login og ingen handling fra brugeren, og den kan udnyttes over netværk med lav kompleksitet. Den fulde udnyttelse kræver dog to konkrete betingelser: klienten skal forbinde til en RDP-server, som angriberen kontrollerer eller har kompromitteret, og forbindelsen skal gå gennem en HTTP-proxy. Der er ikke observeret aktiv udnyttelse på offentliggørelsestidspunktet, men den lave kompleksitet og den kritiske score gør, at man ikke bør vente unødigt.
Hvad gør jeg nu?
Fejlen er rettet i FreeRDP 3.29.0. Gør følgende:
- Opdatér FreeRDP til version 3.29.0 eller nyere på alle klienter, eller opdatér de programpakker (for eksempel Remmina), der leverer FreeRDP som komponent.
- Kortlæg, hvilke systemer i jeres IT-miljø der bruger FreeRDP-baserede klienter, herunder Linux- og macOS-arbejdspladser.
- Indtil opdateringen er rullet ud, bør RDP-forbindelser gennem HTTP-proxy kun ske til servere, I stoler fuldt ud på.
- Gennemgå proxylogfiler for usædvanlige CONNECT-forespørgsler eller uventede headere i trafik til RDP-mål.
- Hvis I bruger et produkt, der indlejrer FreeRDP, kontakt leverandøren for at bekræfte, hvornår en rettet version er tilgængelig.
- Er I i tvivl om, hvilke systemer der er berørt, eller hvordan proxyopsætningen skal ændres midlertidigt, så få hjælp fra en it-sikkerhedsrådgiver.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer FreeRDP til version 3.29.0 eller nyere på alle relevante klienter inden for de næste to uger. Det er kun forsvarligt at vente, hvis I kan dokumentere, at ingen af jeres RDP-forbindelser går gennem en HTTP-proxy til eksterne eller tredjeparts servere. Er I i tvivl om, hvilke systemer der bruger FreeRDP, bør I få det afklaret, før I beslutter jer for at vente.
Tidslinje
Konkrete eksempler
Kompromitteret supportserver hos en dansk kommune
En kommunes IT-medarbejdere bruger Remmina på Linux-arbejdsstationer til at forbinde til en ekstern leverandørs RDP-server til systemsupport, gennem kommunens HTTP-proxy. Leverandørens server bliver kompromitteret af en angriber, som sender en manipuleret omdirigeringsbesked med skjulte headere. Angriberen udnytter det til at omgå proxyens adgangsregler og sende trafik videre til et eksternt mål, som ellers ville være blokeret.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en RDP-klient bygget på FreeRDP, for eksempel Remmina eller xfreerdp, i version 3.28.0 eller ældre, og hvis klienten forbinder til RDP-servere gennem en HTTP-proxy. Brug I RDP-klienter fra Windows eller macOS’ indbyggede klient, er I ikke berørt af denne konkrete fejl.
Hvordan tjekker vi vores version af FreeRDP?
Kør kommandoen xfreerdp /version eller tjek pakkeversionen via jeres pakkehåndtering, for eksempel apt list –installed freerdp2-x11 på Debian- og Ubuntu-baserede systemer. Er versionsnummeret 3.28.0 eller lavere, skal I opdatere.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I i mellemtiden sikrer, at ingen af jeres FreeRDP-baserede klienter forbinder gennem en HTTP-proxy til RDP-servere, I ikke fuldt ud kontrollerer. Er den forudsætning ikke opfyldt, bør opdateringen prioriteres hurtigere.
Skal vi anmelde hændelsen til myndighederne?
Der er ikke tale om en konstateret hændelse, men om en sårbarhed. Anmeldelse er kun relevant, hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet mod jer, for eksempel usædvanlig proxy-trafik eller uautoriseret adgang.
Rammer det også vores Windows-servere med Fjernskrivebord?
Nej, Microsofts egen RDP-klient bruger ikke FreeRDP. Sårbarheden gælder specifikt FreeRDP-biblioteket, som primært findes på Linux- og macOS-klienter samt i visse tredjepartsprodukter.
Hvad hvis vi ikke kan opdatere med det samme?
Så bør I midlertidigt undgå at lade FreeRDP-klienter forbinde til RDP-servere via HTTP-proxy, medmindre serveren er fuldt betroet, og I bør overvåge proxylogfiler for usædvanlige forespørgsler.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
FreeRDP before 3.29.0 (affected versions <= 3.28.0) does not validate CRLF and control characters in the server-controlled RDP redirection TargetNetAddress field. This value is copied into the client's ServerHostname and, when the client connects through an HTTP proxy, is written directly into the proxy CONNECT request line and Host header by http_proxy_connect() without filtering. A malicious or compromised RDP server can send a crafted redirection PDU containing embedded control characters to inject arbitrary headers/requests into the HTTP proxy CONNECT request.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.