CVE-2026-114515 OCO-Serverの不正アンインストール脆弱性 1.2.3アップグレード推奨
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
OCO-Serverの1.2.3未満のバージョンにおいて、Self-Service Portalユーザーがデプロイ権限を持たないにもかかわらず、読み取り可能なリソースに対するアンインストールジョブを実行できる可能性があります。`job-containers.php`経由で送信された`uninstall_package_assignment_id[]`の値が、システムユーザーとしての権限チェックをバイパスし、他のユーザーのコンピュータにインストールされたパッケージの削除が可能となる脆弱性です。影響範囲は、Self-Service Portalの利用者に限定されますが、不正にソフトウェアを削除されるリスクが生じます。運用者は現在のバージョンを確認し、1.2.3へのアップグレードまたは該当するPHPスクリプトのセキュリティ設定を点検する必要があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問う。システムの権限チェックが不完全なのは、単なる技術的ミスなのか、それとも運用の倫理的責任が欠如した結果なのか？
それは技術的ミスです。`job-containers.php`が`uninstall_package_assignment_id[]`を受け取り、システムユーザーとしての権限チェックをバイパスする構造が原因です。運用者は現バージョンを確認し、1.2.3へのアップグレードか、PHPスクリプトのセキュリティ設定を点検する必要があります。
では、運用者が「確認すべき観点」を問うならば、何を優先すべきか？
まずは`php -v`で現バージョンを確認し、CVEの影響範囲に該当するかを判断するべきです。次に、`lib/SelfService/CoreLogic.class.php`と`lib/CoreLogic.class.php`のコードをレビューし、`checkPermission()`のロジックがシステムコンテキストで動作していないかを確認する必要があります。
だが、変更管理の観点から、この脆弱性の影響を調査するにはどうすればよかろう？
`computer_package.id`が読み取り可能なリソースを列挙し、他のユーザーのコンピュータにインストールされたパッケージが含まれているかを確認するべきです。また、`uninstall_package_assignment_id[]`の値が不正にリクエストされないよう、アクセスログを監視し、異常なリクエストを検知する仕組みを設けることが重要です。
では、ベンダー情報の確認は必要か？
もちろんです。NVDのURLを確認し、該当するPHPスクリプトの修正履歴や、1.2.3への移行手順をベンダーのドキュメントで確認する必要があります。また、アップグレード後は変更管理のプロセスに従い、テスト環境での確認を経た上で本番に適用することが肝要です。
最後に、この脆弱性に対応する運用者の責任は、哲学的にも技術的にも重大だ。だが、コーヒーを飲みながらパッチ適用を進めるのが、実際の現場の姿ではないか？
その通りです。でも、コーヒーに限らず、慎重さと行動力のバランスが、システムの安全を守る鍵です。
関連キーワード: php