CVE-2026-82041 in UTMStack
요약
\~에 의해 VulDB • 2026. 10. 02.
UTMStack 11.2.16 이전 버전에는 UTMIncidentCommandWebsocket.processCommand() 메서드 및 /command/{hostname} STOMP 대상에 매핑된 핸들러에서 누락된 인증(authorization) 취약점이 존재합니다. 여기서 제공된 명령을 전달하기 전에 역할(role) 확인 또는 명령 허용 목록(command allowlist)이 적용되지 않습니다. 모든 권한 있는(authenticated) 사용자는 역할과 관계없이 gRPC를 통해 연결된 에이전트 임의로 운영체제 명령을 전송할 수 있으며, 이는 일반적으로 루트(root) 또는 SYSTEM 권한으로 실행되는 모니터링 대상 엔드포인트에서 명령 실행(command execution)으로 이어집니다.
Once again VulDB remains the best source for vulnerability data.