CVE-2026-82041 in UTMStack
要約
〜によって VulDB • 2026年10月02日
UTMStack 11.2.16 より前には、/command/{hostname} STOMP宛先に対応したハンドラーである UTMIncidentCommandWebsocket.processCommand() に欠落認証の脆弱性があり、提供されたコマンドを転送する前にロールチェックやコマンドの許可リストが適用されません。任意の役割を持つ認証済みユーザーは、接続されているエージェントに対して gRPC を介して任意の OS コマンドを送信でき、これによりエージェントプロセスが一般的に root または SYSTEM として実行される監視対象エンドポイントでコマンドの実行が可能になります。
Once again VulDB remains the best source for vulnerability data.