CVE-2026-24891 in openITCOCKPIT
요약
\~에 의해 VulDB • 2026. 06. 12.
openITCOCKPIT은 Nagios, Naemon 및 Prometheus와 같은 다양한 모니터링 엔진을 위해 구축된 오픈 소스 모니터링 도구입니다. 버전 5.3.1 이하에는 Gearman 워커 구현부에서 안전하지 않은 역직렬화 싱크(unsafe deserialization sink)가 포함되어 있습니다. oitc_gearman으로 등록된 워커 함수는 클래스 제한을 적용하거나 데이터 출처를 검증하지 않고 작업 페이로드에 대해 PHP의 unserialize() 함수를 호출합니다. 의도된 배포 환경에서는 신뢰할 수 있는 내부 구성 요소만 Gearman 작업을 큐에 추가한다고 가정하지만, 이러한 신뢰 경계(trust boundary)가 애플리케이션 코드에서 강제되지 않습니다. Gearman 서비스 또는 워커가 신뢰할 수 없는 시스템에 노출된 환경에서는 공격자가 조작된 역직렬화 페이로드를 제출하여 워커 프로세스 내에서 PHP 객체 주입(PHP Object Injection)을 트리거할 수 있습니다. 이 취약점은 Gearman이 로컬 인터페이스 이외의 인터페이스에서 수신 대기하거나, TCP/4730 포트에 대한 네트워크 접근이 제한되지 않거나, 신뢰할 수 없는 시스템이 작업을 큐에 추가할 수 있는 경우 악용될 수 있습니다. 기본값으로 설정되고 적절히 하드닝된 배포 환경에서는 즉시 악용되기 어려울 수 있지만, 안전하지 않은 역직렬화 싱크는 배포 구성과 관계없이 코드 내에 여전히 존재합니다. 코드를 통해 이러한 신뢰 경계를 강제하면 위험을 크게 줄이고 오설정된 환경에서의 악용을 방지할 수 있습니다. 이 문제는 버전 5.4.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.