JVNDB-2026-004869

it-novum GmbHのopenITCOCKPITにおける信頼できないデータのデシリアライゼーションに関する脆弱性

openITCOCKPITは、Nagios、Naemon、Prometheusなどの異なる監視エンジン向けに構築されたオープンソースの監視ツールです。バージョン5.3.1以下には、Gearmanワーカーの実装に安全でない逆シリアライズのシンクが含まれています。oitc_gearmanとして登録されたワーカーファンクションは、クラス制限を強制せず、データの起源を検証することなく、ジョブペイロードに対してPHPのunserialize()を呼び出します。意図された展開では信頼された内部コンポーネントのみがGearmanジョブをキューに入れることを想定していますが、この信頼境界はアプリケーションコード内で強制されていません。Gearmanサービスまたはワーカーが信頼されていないシステムに公開されている環境では、攻撃者が細工されたシリアライズ済みペイロードを送信してワーカープロセスでPHPオブジェクトインジェクションを引き起こす可能性があります。この脆弱性は、Gearmanが非ローカルインターフェースで待機し、TCP/4730へのネットワークアクセスが制限されておらず、信頼されていないシステムがジョブをキューに入れられる場合に悪用されます。デフォルトで適切に強化された展開では直ちに悪用される可能性は低いものの、安全でないシンクは展開構成に関係なくコード内に残存しています。この信頼境界をコード内で強制することでリスクを大幅に低減でき、誤設定された環境での悪用を防止できます。この問題はバージョン5.4.0で修正されました。

it-novum GmbH

• openITCOCKPIT 5.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Unsafe PHP Deserialization in Gearman Worker Allows Conditional Object Injection  Advisory  openITCOCKPIT/openITCOCKPIT  GitHub

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-24891

1. National Vulnerability Database (NVD) : CVE-2026-24891
2. 関連文書 : Release openITCOCKPIT 5.4.0  openITCOCKPIT/openITCOCKPIT  GitHub

• [2026年02月26日]
    掲載