JVNDB-2026-015989

Fleet Device Managementのfleetにおける証明書検証に関する脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.81.0以前のFleetのWindows MDM管理エンドポイントには、クライアント証明書を適切に検証せずにリクエストを処理してしまう脆弱性があります。特定の場合において、攻撃者が登録済みのWindowsデバイスをなりすまし、機密性の高い構成データを取得できる可能性があります。FleetのWindows MDM管理エンドポイントは、登録済みデバイスの認証に相互TLS (mTLS)クライアント証明書を利用しています。影響を受けるバージョンでは、クライアント証明書を提示しないリクエストが誤って信頼されてしまう可能性があります。その結果、有効な登録済みデバイス識別子の事前知識を持つ攻撃者は、そのデバイスをなりすまして対象デバイス向けの構成ペイロードを受信することが可能です。これらのペイロードには、Wi-FiやVPNの構成データ、証明書、その他のMDMプロファイルを通じて配信される秘密情報が含まれる場合があります。この問題は、新しいデバイスの登録やFleetの管理者アクセス、Fleetコントロールプレーンの侵害を許すものではありません。影響は対象となるWindowsデバイスに限定されています。バージョン4.81.0で修正されました。直ちにアップグレードできない場合は、影響を受けるFleetユーザーに対し、一時的にWindows MDMを無効化することを推奨します。

Fleet Device Management

• fleet 4.81.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Windows MDM management endpoint authentication bypass  Advisory  fleetdm/fleet  GitHub

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-23998

1. National Vulnerability Database (NVD) : CVE-2026-23998
2. 関連文書 : Release fleet-v4.81.0  fleetdm/fleet  GitHub

• [2026年05月18日]
    掲載