JVNDB-2026-005495

Fleet Device Managementのfleetにおける不正な認証に関する脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.80.1以前では、Fleetの証明書テンプレート削除APIにおける認可チェックに不備があり、チーム管理者が同じFleetインスタンス内の他のチームに属する証明書テンプレートを削除できる可能性がありました。Fleetは個々のチームにスコープされた証明書テンプレートをサポートしています。影響を受けるバージョンでは、バッチ削除エンドポイントがユーザー提供のチーム識別子を使って認可を検証していましたが、削除される証明書テンプレートIDが実際にそのチームに属しているかどうかを確認していませんでした。その結果、チーム管理者は他チームに関連する証明書テンプレートを削除でき、デバイス登録、Wi-Fi認証、VPNアクセス、その他証明書依存の設定など、証明書ベースのワークフローを妨害しました。この問題は特権の昇格、機密データへのアクセス、Fleetの制御プレーンの侵害を許すものではありません。影響はチーム間の証明書テンプレートの整合性および可用性に限定されます。バージョン4.80.1で修正されています。直ちにアップグレードできない場合は、管理者は証明書テンプレート管理へのアクセスを信頼できるユーザーに制限し、必要不可欠でない限りチーム管理者権限の委譲を避けるべきです。

Fleet Device Management

• fleet 4.80.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Authorization bypass in certificate template batch deletion for team administrators  Advisory  fleetdm/fleet  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-25963

1. National Vulnerability Database (NVD) : CVE-2026-25963

• [2026年03月02日]
    掲載