概要
Fleetはオープンソースのデバイス管理ソフトウェアです。バージョン4.80.1未満において、認証済みユーザーが`order_key`クエリパラメータを通じて任意のSQL式を注入できるSQLインジェクションの脆弱性が存在しました。`ORDER BY`句を構築する際に`goqu.I()`が安全に使用されていなかったため、特別に細工された入力が識別子の引用を回避し、実行可能なSQLとして解釈される可能性がありました。影響を受けるエンドポイントにアクセス可能な認証済み攻撃者は、基盤となるMySQLクエリにSQL式を注入できました。注入は`ORDER BY`コンテキストで発生しますが、これは条件式を通じて結果の並び順に影響を与え、盲目的なSQLインジェクション技術を利用してデータベース情報を漏洩させるのに十分です。細工された式によって過度な計算やクエリの失敗が引き起こされる可能性もあり、それがパフォーマンス低下やサービス拒否につながる恐れがあります。信頼できるデータ改変や複数クエリの連結実行の直接的な証拠は示されていません。バージョン4.80.1でこの問題は修正されました。即時のアップグレードが不可能な場合は、影響を受けるエンドポイントへのアクセスを信頼できるロールのみに制限し、アプリケーションやプロキシ層でユーザーが提供するソートやカラムパラメータを厳密に許可リスト化する必要があります。
技術情報
- 深刻度: 低
- 公開日: 2026-03-04T12:06:00+09:00
- 更新日: 2026-03-04T12:06:00+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。
