FreeRDP Shadow-Server: Fehlende Authentifizierung erlaubt Tastatureingabe-Injektion
Zusammenfassung
Der Shadow-Server von FreeRDP, der einen laufenden Desktop über RDP freigibt, verarbeitet Eingabeereignisse, bevor sich der Client authentifiziert hat. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der TLS-only RDP aushandelt, kann über XTEST synthetische Tastatureingaben in die X11-Sitzung des angemeldeten Benutzers einschleusen. Voraussetzung ist ein erreichbarer Shadow-Listener auf einem Linux/X11-Host mit aktivierter Interaktion, was der Standard ist; die Auswirkung beschränkt sich auf die Integrität (ein Datenzugriff wird nicht nachgewiesen).
Betroffen
- FreeRDP 3.0.0 bis und mit 3.31.x, also vor 3.32.0 (Bereich von CNA und NVD)
- Das GitHub-Advisory führt 3.0.0 bis 3.31.1 als betroffen auf
- Nur Builds mit X11-Shadow-Backend und XTEST sind als ausnutzbar belegt
Behoben in
- FreeRDP 3.32.0 (veröffentlicht am 23. September 2026)
- Linux-Distributionen stellen korrigierte Pakete unter eigenen Versionsnummern bereit; Sicherheitsmitteilungen der eigenen Distribution prüfen
Umgehung
- Keine vom Hersteller dokumentierte Massnahme.
- Provisorische Massnahmen (Empfehlungen, nicht vom Hersteller): Shadow-Server deaktivieren, falls nicht benötigt, RDP-Port auf bekannte Verwaltungsnetze beschränken und nicht aus dem Internet erreichbar machen.
Ausnutzung
- Nicht als aktiv ausgenutzt bekannt (CISA KEV: nein).
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- Kein öffentlicher Proof of Concept gefunden; das Hersteller-Advisory beschreibt eine Reproduktion im Labor.
Unsere Empfehlung
- Prüfen, ob FreeRDP-Shadow-Server installiert sind (zum Beispiel freerdp3-shadow-x11) und ob sie aus nicht vertrauenswürdigen Netzen erreichbar sind.
- Auf FreeRDP 3.32.0 oder das korrigierte Distributionspaket aktualisieren.
- Shadow-Server deaktivieren, wo er nicht benötigt wird.
- RDP-Zugriff auf Verwaltungsnetze beschränken und auf unerwartete Tastatureingaben in aktiven Sitzungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-m998-cvfm-9444 github.com
- VulnCheck advisory www.vulncheck.com
- FreeRDP 3.32.0 release www.freerdp.com
- Ubuntu security tracker CVE-2026-110838 ubuntu.com
- OSV UBUNTU-CVE-2026-110838 osv.dev
- VulDB CVE-2026-110838 vuldb.com
- OpenCVE CVE-2026-110838 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.