JVNDB-2026-016243

Fleet Device Managementのfleetにおける入力確認に関する脆弱性

Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.81.0以前のFleetには、gRPCランチャーの`PublishLogs`エンドポイントにおいてサービス拒否（DoS）の問題が存在していました。影響を受けるバージョンでは、特定の予期しない入力値が適切に処理されず、認証済みの登録済みランチャーホストからのリクエストを処理中にFleetサーバープロセスが終了する可能性がありました。認証された攻撃者が任意の登録済みランチャーノードキーにアクセスできる場合、`PublishLogs`エンドポイントに単一のgRPCリクエストを送信することで即時かつ完全なサービス拒否を引き起こすことが可能です。この脆弱性は可用性にのみ影響を与え、機密データの漏洩、認証バイパス、権限昇格、整合性には影響しません。バージョン4.81.0では修正が含まれています。すぐにアップグレードできない場合は、以下の緩和策により露出を減らすことが可能です。FleetのgRPCエンドポイントへのネットワークアクセスを可能な限り制限してください（例：既知のホストIP範囲へのインバウンドアクセスを限定する）。Launcherのログ取り込みが不要な場合は、gRPCトラフィックを終了またはフィルタリングするインフラの背後にFleetを配置してください。並びに繰り返されるFleetプロセスクラッシュや予期しない再起動の監視を行い、潜在的な悪用を検出してください。

Fleet Device Management

• fleet 4.81.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Fleet server may terminate unexpectedly when handling certain gRPC requests  Advisory  fleetdm/fleet  GitHub

1. 不適切な入力確認(CWE-20) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-26062

1. National Vulnerability Database (NVD) : CVE-2026-26062
2. 関連文書 : Release fleet-v4.81.0  fleetdm/fleet  GitHub

• [2026年05月20日]
    掲載