一、 漏洞 CVE-2026-22859 基础信息

                                        # FreeRDP 堆溢出漏洞

## 概述  
FreeRDP 是远程桌面协议（RDP）的免费实现。在版本 3.20.1 之前，URBDRC 客户端未对服务器提供的 MSUSB_INTERFACE_DESCRIPTOR 值进行边界检查，导致越界读取漏洞。

## 影响版本  
受影响版本为 3.20.1 之前的 FreeRDP。

## 细节  
在函数 `libusb_udev_complete_msconfig_setup` 中，URBDRC 客户端使用来自服务器的 MSUSB_INTERFACE_DESCRIPTOR 值作为数组索引，但未对其进行边界检查，从而触发越界读取。

## 影响  
攻击者可利用该漏洞在客户端上造成信息泄露或崩溃，可能用于进一步的攻击。该漏洞已在 3.20.1 版本中修复。
                                        

二、漏洞 CVE-2026-22859 的公开POC

三、漏洞 CVE-2026-22859 的情报信息

• 标题： Release 3.20.1 · FreeRDP/FreeRDP · GitHub -- 🔗来源链接

  标签：x_refsource_MISC

  神龙速读：

                                          以下是关于漏洞的关键信息：
  
  - **CVEs Identified**:
    - CVE-2026-22851
    - CVE-2026-22852
    - CVE-2026-22853
    - CVE-2026-22854
    - CVE-2026-22855
    - CVE-2026-22856
    - CVE-2026-22857
    - CVE-2026-22858
    - CVE-2026-22859
  
  - **Affected Components**:
    - All vulnerabilities except CVE-2026-22858 impact FreeRDP based clients only.
    - CVE-2026-22858 also impacts FreeRDP proxy.
    - FreeRDP based servers are not affected.
  
  - **Vulnerabilities Severity**:
    - All listed vulnerabilities are of medium severity.
  
  - **Contributors**:
    - @ehdgks0627 was acknowledged for uncovering these vulnerabilities through code review and testing.
                                          

  

• 标题： Heap-buffer-overflow in urb_select_configuration · Advisory · FreeRDP/FreeRDP · GitHub -- 🔗来源链接

  标签：x_refsource_CONFIRM

  神龙速读：

                                          ### 关键信息
  
  - **漏洞类型**: 堆缓冲区溢出
  - **CVE ID**: CVE-2026-22859
  - **严重性**: 中等
  - **受影响版本**: <=3.20.0
  - **修复版本**: 3.20.1
  - **漏洞描述**:
      - **概要**: URBDC 客户端在对服务器提供的 `MSUSB_INTERFACE_DESCRIPTOR` 值进行边界检查时未进行边界验证，导致越界读取。
      - **详细信息**: `TS_URB_SELECT_CONFIGURATION` 数据直接从通道流中解析，并且 `InterfaceNumber` 和 `AlternateSetting` 未进行边界检查。`libusb_udev_complete_msconfig_setup` 使用这些未经验证的值作为索引，从而触发越界读取。
      - **代码片段**:
          ```c
          MsConfig = msusb_msconfig_read(s, NumInterfaces);
          ```
  
          ```c
          LibusbInterface = &LibusbConfig->interface[MsInterface->InterfaceNumber];
          LibusbAltsetting = &LibusbInterface->altsetting[MsInterface->AlternateSetting];
          ```
      - **漏洞利用**:
          1. 在 FreeRDP 中启用 USB 重定向，并连接到一个发送伪造 `TS_URB_SELECT_CONFIGURATION` 的恶意 RDP 服务器。
          2. 设置 `NumInterfaces`, 并提供一个 `InterfaceNumber` 或 `AlternateSetting` 大于实际设备接口/可选设置计数的接口描述符。
      - **影响**: 恶意服务器可触发客户端堆缓冲区溢出，导致崩溃 (DoS) 及潜在堆损坏风险，甚至可能执行代码。
      - **影响范围**: 仅限 FreeRDP 客户端。
                                          

  
• https://nvd.nist.gov/vuln/detail/CVE-2026-22859

四、漏洞 CVE-2026-22859 的评论