30秒で判断
- 対応すべき人: Fleetをv4.81.1未満で運用している人
- 対応不要な人: Fleetを使用していない、またはすでにv4.81.1以降を使用している人
- 確認コマンド: Fleetの管理画面またはAPI（
/api/v1/fleet/version）でバージョンを確認
概要
Fleetのソフトウェアインストーラパイプラインには、クラフトされたソフトウェアパッケージのアンインストールがトリガーされた際にコマンドインジェクションが発生する脆弱性がありました。悪用されると、管理対象ホスト上でmacOS/Linuxではroot、Windowsでは SYSTEM権限での任意コード実行につながります。
CVSSベクトル
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 攻撃元 | ネットワーク経由（Fleetのソフトウェア配布機能を介する） |
| 想定される影響 | 管理対象ホストでのroot/SYSTEM権限での任意コード実行 |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Fleet | < 4.81.1 |
修正バージョンと回避策
v4.81.1で修正済みです。同時期に修正された関連の脆弱性（アクセス制御の不備、SQLインジェクション）も含めて最新版へのアップデートを推奨します。
関連リンク
データソース: GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。