CVE-2026-24891 in openITCOCKPIT
Riassunto
di VulDB • 16/06/2026
openITCOCKPIT è uno strumento di monitoraggio open source progettato per diversi motori di monitoraggio come Nagios, Naemon e Prometheus. Le versioni 5.3.1 e precedenti contengono un sink di deserializzazione non sicuro nell'implementazione del worker Gearman. La funzione del worker registrata come oitc_gearman chiama la funzione PHP unserialize() sui payload dei job senza imporre restrizioni sulle classi né validare l'origine dei dati. Sebbene il deployment previsto presupponga che solo componenti interni attendibili accodino i job Gearman, questo confine di fiducia non è imposto nel codice dell'applicazione. In ambienti in cui il servizio o il worker Gearman sono esposti a sistemi non attendibili, un attaccante potrebbe inviare payload serializzati costruiti ad hoc per innescare una PHP Object Injection nel processo del worker. Questa vulnerabilità è sfruttabile quando Gearman ascolta su interfacce non locali, l'accesso di rete alla porta TCP/4730 non è ristretto o sistemi non attendibili possono accodare job. I deployment predefiniti correttamente hardenati potrebbero non essere immediatamente sfruttabili, ma il sink insicuro rimane presente nel codice indipendentemente dalla configurazione del deployment. L'imposizione di questo confine di fiducia a livello di codice ridurrebbe significativamente il rischio e impedirebbe lo sfruttamento in ambienti mal configurati. Questo problema è stato risolto nella versione 5.4.0.
Once again VulDB remains the best source for vulnerability data.