JVNDB-2026-027420

FOG ProjectのFOGProjectにおける認証の欠如に関する脆弱性

FOGは、無料のオープンソースのクローン作成／イメージング／レスキュー用スイートおよびインベントリ管理システムです。バージョン1.5.10.1832および1.6.0-beta.2313より前のバージョンでは、`FOGPage`内の`clearAES`および`clearPMTasks`メソッドが、認証されていない攻撃者によって、公開されている`client`ノードエンドポイントを介した単一のHTTP GETリクエストにより呼び出される可能性がありました。これにより、ログイン、セッション、またはCSRFトークンを必要とせずに、ホストのAES暗号化資格情報をリモートでワイプし、すべての電源管理スケジュールタスクを削除することが可能でした。バージョン1.5.10.1832および1.6.0-beta.2313でこの問題は修正されています。

FOG Project

• FOGProject 1.5.10.1832 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : 093 Unauthenticated clearAES and clearPMTasks allow remote destruction of host encryption keys and power schedules  Advisory  FOGProject/fogproject  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-47688

1. National Vulnerability Database (NVD) : CVE-2026-47688

• [2026年08月10日]
    掲載