CVE-2026-68579: Kritisk fejl i FreeRDP’s udklipsholder
Kritisk fejl i FreeRDP’s Windows-udklipsholder kan give en ondsindet RDP-server skriveadgang til klientens hukommelse. Opdatér til FreeRDP 3.30.0.
Hvad er det?
CVE-2026-68579 er en sårbarhed i FreeRDP, et gratis værktøj der bruges til at oprette fjernskrivebordsforbindelser (RDP) til Windows-servere og -pc’er. Fejlen sidder i funktionen CliprdrStream_Read, som håndterer udklipsholderen, når man kopierer filer mellem den lokale pc og en fjernserver. Når et program som Windows Stifinder henter filindhold fra serveren, bruger FreeRDP den længde, serveren selv oplyser, i stedet for den plads, der faktisk er afsat i hukommelsen. En serveren kontrolleret af en angriber kan derfor sende et for stort svar og skrive data ud over det tiltænkte hukommelsesområde, kaldet et heap-baseret bufferoverløb.
Hvem rammer det?
Sårbarheden rammer alle, der bruger FreeRDP som RDP-klient på Windows i version 3.29.0 eller ældre. Det gælder blandt andet organisationer, der bruger FreeRDP direkte, eller programmer der bygger på FreeRDP-biblioteket, herunder flere fjernsupport-værktøjer og open source RDP-klienter. Danske virksomheder og kommuner, der lader medarbejdere eller it-support tilgå servere eller pc’er via en RDP-klient baseret på FreeRDP, er berørt, uanset om forbindelsen går til egne systemer eller til eksterne leverandøres.
Hvad kan ske?
Hvis en medarbejder opretter forbindelse til en RDP-server, der er ondsindet eller kompromitteret, og efterfølgende indsætter (paster) filindhold fra serveren, kan angriberen skrive vilkårlige data ind i klientens hukommelse. I praksis kan det føre til, at angriberen får kørt kode på medarbejderens pc, og dermed potentielt overtager kontrollen med maskinen, stjæler data eller får fodfæste videre ind i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kræver ingen login-oplysninger og kan udføres over netværket, men det kræver, at brugeren aktivt indsætter filindhold fra en ondsindet server, altså en handling fra brugeren. Til gengæld er kompleksiteten lav, og konsekvensen er alvorlig: både integritet og tilgængelighed af systemet kan påvirkes fuldt ud. Der er ingen tegn på, at sårbarheden aktivt udnyttes eller at der findes offentligt tilgængelig angrebskode på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser risikoen, indtil opdatering er gennemført.
- Opdatér FreeRDP til version 3.30.0 eller nyere på alle Windows-klienter og systemer, der bruger biblioteket.
- Kortlæg hvilke programmer i jeres it-miljø bygger på FreeRDP, herunder fjernsupport-værktøjer og interne RDP-klienter.
- Undgå indtil videre at oprette RDP-forbindelser til servere, I ikke fuldt ud stoler på, eller som ikke er under jeres egen kontrol.
- Instruér medarbejdere i ikke at indsætte filindhold fra udklipsholderen under RDP-sessioner til ukendte eller eksterne servere, før opdatering er gennemført.
- Gennemgå logs for usædvanlig adfærd på pc’er, der har haft RDP-forbindelser til eksterne eller mindre betroede servere.
- Kontakt en ekstern it-sikkerhedsrådgiver, hvis I ikke selv kan identificere alle FreeRDP-installationer eller vurdere jeres eksponering.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer alle FreeRDP-baserede klienter til version 3.30.0 så hurtigt som muligt, da sårbarheden er kritisk vurderet og kan føre til fuld kompromittering af klientmaskinen. Det er i orden at vente til det næste planlagte vedligeholdelsesvindue, hvis I i mellemtiden sikrer, at ingen medarbejdere opretter RDP-forbindelser til upålidelige eller ukendte servere. Bruger I ikke FreeRDP eller programmer baseret herpå, er der ingen handling nødvendig ud over at bekræfte det.
Tidslinje
Konkrete eksempler
Kompromitteret supportserver hos it-leverandør
En dansk virksomheds it-leverandør bruger et fjernsupport-værktøj baseret på FreeRDP til at hjælpe kunder med tekniske problemer. En angriber overtager leverandørens supportserver og venter, til en medarbejder hos kunden opretter forbindelse. Da medarbejderen indsætter en fil, som serveren tilbyder via udklipsholderen, udnyttes bufferoverløbet, og angriberen får kørt kode på medarbejderens pc, hvorfra videre angreb mod virksomhedens netværk bliver muligt.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger FreeRDP?
Tjek om jeres RDP-klienter, fjernsupport-værktøjer eller interne systemer angiver FreeRDP eller et bibliotek baseret herpå som afhængighed. Mange open source RDP-klienter på Windows og Linux bruger FreeRDP under motorhjelmen, så det kan kræve en gennemgang af softwarelister eller kontakt til jeres leverandør.
Er vi ramt, hvis vi kun bruger Microsofts egen RDP-klient?
Nej. Sårbarheden findes specifikt i FreeRDP-projektets kode, ikke i Microsofts indbyggede Fjernskrivebord-klient. Bruger I udelukkende Microsofts mstsc.exe, er I ikke berørt af denne konkrete fejl.
Kan vi vente med at opdatere til weekenden?
Ja, hvis I i mellemtiden sikrer, at ingen medarbejdere opretter RDP-forbindelser til servere, I ikke fuldt ud stoler på, og undgår at indsætte filindhold fra udklipsholderen i sådanne sessioner. Sårbarheden er ikke kendt for at være aktivt udnyttet, men bør opdateres snarest muligt derefter.
Kræver det, at vi bliver hacket via en ekstern server, eller kan det ske internt?
Angrebet kræver en RDP-server, som angriberen kontrollerer, eller en legitim server der er blevet kompromitteret. Det kan derfor også ramme jer internt, hvis en af jeres egne servere bliver overtaget af en angriber, og medarbejdere efterfølgende kobler op mod den.
Skal vi anmelde hændelsen til myndighederne?
Der er tale om en sårbarhed, ikke en konstateret hændelse. Anmeldelsespligt til Datatilsynet eller andre myndigheder opstår først, hvis I konstaterer, at sårbarheden er blevet udnyttet, og der er sket brud på persondata eller andre kritiske systemer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
FreeRDP before 3.30.0 (<= 3.29.0) contains a heap-based buffer overflow in the Windows clipboard client's CliprdrStream_Read function (client/Windows/wf_cliprdr.c). When an OLE paste consumer (e.g. explorer.exe) calls IStream::Read with a fixed-size buffer of cb bytes, CliprdrStream_Read requests file contents from the RDP server and then copies the response into the caller's buffer using the server-supplied length (req_fsize) instead of cb. A malicious or compromised RDP server can return an oversized CB_FILECONTENTS_RESPONSE, causing an out-of-bounds write of attacker-controlled data into the paste consumer's heap buffer when a user pastes server-offered clipboard file contents.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.