JVNDB-2026-005798

Fleet Device Managementのfleetにおける認証の欠如に関する脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.80.1より前のバージョンにおいて、FleetのAndroid MDMのPub/Sub処理に脆弱性が存在し、認証されていないリクエストがデバイスの登録解除イベントを引き起こす可能性があります。これにより、個別のAndroidデバイスがFleet管理から不正に削除される恐れがあります。Android MDMが有効な場合、攻撃者は認証なしに特別に作成されたリクエストをAndroidのPub/Subエンドポイントに送信することで、対象のAndroidデバイスをFleetから登録解除できます。なお、この問題はFleetへのアクセス権を付与したり、コマンドの実行やデバイスデータへの可視性を提供したりするものではありません。影響は対象デバイスのAndroidデバイス管理の妨害に限定されます。本問題はバージョン4.80.1で修正されています。即時のアップグレードが困難な場合、影響を受けるFleetユーザーは一時的にAndroid MDMを無効にすることを推奨します。

Fleet Device Management

• fleet 4.80.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated Android device unenrollment vulnerability via Pub/Sub endpoint   Advisory  fleetdm/fleet  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-24004

1. National Vulnerability Database (NVD) : CVE-2026-24004

• [2026年03月04日]
    掲載