JVNDB-2026-005799

Fleet Device Managementのfleetにおける不十分なランダム値の使用に関する脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.80.1より前のバージョンにおいて、Fleetは現在のUnixタイムスタンプのみに基づく予測可能なアルゴリズムを使ってデバイスのロックおよびワイプ用のPINを生成していました。秘密鍵や追加のエントロピーが使用されていなかったため、デバイスがロックされたおおよその時間が分かれば、結果として生成されたPINを推測される可能性がありました。Fleetのデバイスロックおよびワイプコマンドは、管理者に表示される6桁のPINを生成しますが、影響を受けるバージョンでは、このPINは現在のタイムスタンプから確定的に導出されていました。物理的にロックされたデバイスを所持し、ロックコマンドが発行されたおおよその時間を知っている攻撃者は、限定された探索範囲内で正しいPINを理論的に予測できる可能性があります。しかし、成功した悪用は複数の要因により制限されます。デバイスへの物理的アクセスが必要であり、おおよそのロック時間を知っている必要があり、OSはPIN入力試行に対してレート制限を強制し、試行は分散して行われる必要があり、デバイスのワイプ操作は十分な試行が行われる前に通常完了するからです。したがって、この問題はリモートからの悪用やFleet全体の侵害、またはFleet認証制御の回避を引き起こしません。バージョン4.80.1には修正パッチが含まれています。既知の回避策はありません。

Fleet Device Management

• fleet 4.80.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Device lock PIN can be predicted if lock time is known  Advisory  fleetdm/fleet  GitHub

1. 不十分なランダム値の使用(CWE-330) [その他]

1. CVE-2026-23999

1. National Vulnerability Database (NVD) : CVE-2026-23999

• [2026年03月04日]
    掲載