JVNDB-2026-016242

Fleet Device ManagementのfleetにおけるOS コマンドインジェクションの脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.81.0以前では、Fleetのソフトウェアイストーラーパイプラインに脆弱性が存在し、アンインストールがトリガーされた際に、細工されたソフトウェアパッケージが管理対象エンドポイント上でroot（macOS/Linux）またはSYSTEM（Windows）として任意のコマンドを実行できる可能性がありました。ソフトウェアパッケージ（.pkg、.deb、.rpm、.exe、.msi）がFleetにアップロードされると、そのパッケージバイナリからメタデータが抽出され、アンインストールスクリプトの生成に使用されます。影響を受けるバージョンでは、このメタデータが生成されるスクリプトに含まれる前に適切にサニタイズされていませんでした。メタデータフィールドに悪意のある値を含む特別に細工されたパッケージは、アンインストールスクリプトが管理対象エンドポイントで実行される際に意図しないコマンドを実行させる可能性があります。バージョン4.81.0にはこの脆弱性を修正するパッチが含まれています。即時のアップグレードが不可能な場合、管理者は信頼できないまたは未検証のソースから取得したソフトウェアパッケージのアップロードを避けるべきです。加えて、管理者は展開前に自動生成されたアンインストールスクリプトを手動で確認および編集することも可能です。

Fleet Device Management

• fleet 4.81.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OS command injection in software packages  Advisory  fleetdm/fleet  GitHub

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-26191

1. National Vulnerability Database (NVD) : CVE-2026-26191
2. 関連文書 : Release fleet-v4.81.1  fleetdm/fleet  GitHub

• [2026年05月20日]
    掲載