JVNDB-2026-015988

Fleet Device Managementのfleetにおけるスプーフィングによる認証回避に関する脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.80.1より前のFleetは、着信リクエストの送信元IPを判断する際に、クライアントが提供したIPアドレスヘッダーを信頼していました。これにより、認証済みおよび認証されていないクライアントが見かけ上のIPアドレスを偽装し、IPごとのレート制限を回避できていました。FleetはX-Forwarded-For、X-Real-IP、True-Client-IPなどのHTTPヘッダーを使用してクライアントの公開IPアドレスを判定しており、これらのヘッダーは検証なしで信頼されていました。攻撃者はこれらのヘッダーに任意の値を設定でき、その結果Fleetは各リクエストを異なるIPアドレスからのものとみなしてしまいます。これにより攻撃者はIPごとのレート制限を回避し、認証エンドポイントに対するブルートフォースやパスワードスプレー攻撃の効果を高められます。この問題自体では認証回避、権限昇格、データ漏洩、リモートコード実行などは発生しません。バージョン4.80.1には修正が含まれています。回避策として、信頼できるリバースプロキシやロードバランサによってクライアントIPヘッダーを上書きする環境でFleetを実行してください。

Fleet Device Management

• fleet 4.80.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Rate limiting bypass via untrusted client IP headers  Advisory  fleetdm/fleet  GitHub

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2026-24000

1. National Vulnerability Database (NVD) : CVE-2026-24000
2. 関連文書 : Release fleet-v4.80.1  fleetdm/fleet  GitHub

• [2026年05月18日]
    掲載