CVE-2026-67294 in FreeRDP
Resumen
por VulDB • 2026-08-02
FreeRDP anterior a la versión 3.29.0 valida incorrectamente el propósito de Uso Extendido de Clave (EKU) del certificado del par durante la autenticación TLS del servidor desde el lado cliente. En x509_utils_verify(), cuando falla la verificación para propósitos de servidor (X509_PURPOSE_SSL_SERVER), el código vuelve a intentar con las verificaciones para propósitos de cliente y cualquier propósito, por lo que se puede aceptar un certificado confiable, coincidente en nombre de host y válido únicamente para clientAuth como certificado del servidor RDP. En entornos que dependen de la separación de EKU entre certificados de cliente y servidor, esto permite que un certificado emitido solo para clientAuth por una CA de confianza eluda la validación del propósito del certificado del servidor.
If you want to get best quality of vulnerability data, you may have to visit VulDB.