Índice
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-67294 | Microsoft | Remote Desktop Services | 2026-08-01 | CRITICAL | 9.3 | 195 | Revisar aviso oficial del fabricante y aplicar actualización o mitigación publicada. |
Qué es la vulnerabilidad
FreeRDP, antes de la versión 3.29.0, valida incorrectamente el propósito de Uso Extendido de Clave (EKU) del certificado del servidor durante la autenticación TLS del lado del cliente. Cuando la verificación con propósito de servidor (X509_PURPOSE_SSL_SERVER) falla, el código cae a la verificación con propósito de cliente y cualquier propósito, permitiendo que un certificado confiable, con coincidencia de nombre de host y válido solo para clientAuth, sea aceptado como certificado del servidor RDP. En entornos que dependen de la separación EKU entre certificados de cliente y servidor, esto permite que un certificado clientAuth emitido por una CA confiable eluda la validación de propósito de certificado del servidor.
Productos y versiones vulnerables
| Vendedor | Producto | Versiones afectadas |
|---|---|---|
| FreeRDP | FreeRDP | Menor que 3.29.0 |
Impacto y riesgo
La explotación de esta vulnerabilidad permite a un atacante autenticarse como servidor RDP, potencialmente comprometiendo la confidencialidad, integridad y disponibilidad de las sesiones RDP. El riesgo es alto en entornos donde se confía en la separación EKU para la autenticación de certificados.
Estado de explotación conocida
No se ha confirmado explotación activa en producción según las fuentes consultadas.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Verifica la versión de FreeRDP que utilizas. Si es inferior a 3.29.0, la instalación es vulnerable. Revisa la documentación de tu entorno para confirmar la versión exacta.
Mitigación y actualización
Actualiza FreeRDP a la versión 3.29.0 o superior. Si la actualización no es posible de inmediato, considera deshabilitar la validación de EKU o usar un certificado con propósito de servidor válido para mitigar el riesgo.
Checklist para administradores
- ☐ Revisar versiones instaladas de FreeRDP.
- ☐ Confirmar que la versión sea 3.29.0 o superior.
- ☐ Verificar que los certificados de servidor tengan el propósito correcto (serverAuth).
- ☐ Aplicar parches de seguridad emitidos por Microsoft y el proyecto FreeRDP.
- ☐ Monitorizar logs de autenticación TLS en busca de anomalías.
Preguntas frecuentes
- ¿Qué sistemas se ven afectados? Sistemas que utilizan FreeRDP antes de la versión 3.29.0 para conexiones RDP.
- ¿Cómo puedo confirmar la versión de FreeRDP? Ejecuta el comando de versión de FreeRDP en el host que lo utiliza.
- ¿Existe un parche oficial? Sí, la actualización a FreeRDP 3.29.0 corrige la validación EKU.
- ¿Puedo seguir usando la versión antigua con mitigaciones? Se recomienda actualizar; las mitigaciones alternativas pueden aumentar la complejidad y no garantizan la seguridad completa.
- ¿Hay riesgo de explotación en producción? No se ha confirmado explotación activa, pero la vulnerabilidad es crítica.
- ¿Dónde encuentro más información? En los enlaces oficiales listados a continuación.