概要
データセンターインフラ管理ツールであるopenDCIMのバージョン23.04において、OSコマンドインジェクションの脆弱性（CVE-2026-28517）が報告されました。この脆弱性は、特定のコミット（4467e9c4）までのバージョンに存在するとされています。
具体的には、report_network_map.phpファイル内で、データベースから取得される'dot'という設定パラメータが、入力検証やサニタイズ（無害化）を適切に行われないままexec()関数に直接渡されることに起因します。これにより、もし攻撃者がデータベース内のfac_Config.dotの値を改ざんできる場合、ウェブサーバープロセスが動作する権限で任意のOSコマンドが実行される可能性があります。
影響範囲
- openDCIM バージョン 23.04（コミット 4467e9c4 までのバージョン）
想定される影響
本脆弱性が悪用された場合、攻撃者はウェブサーバープロセスが動作する権限で任意のOSコマンドを実行できる可能性があります。これにより、以下のような深刻な影響が想定されます。
- サーバー上の機密情報の窃取
- システムの改ざんや破壊
- マルウェアのインストール
- 他のシステムへの攻撃の踏み台とされる
これらの影響は、データセンターの運用に甚大な被害をもたらす可能性があります。
攻撃成立条件・悪用状況
この脆弱性を悪用するためには、攻撃者がデータベース内のfac_Config.dotの値を変更できる必要があります。これは、データベースへの不正アクセスや、他の脆弱性を介してデータベースを操作できる場合に攻撃が成立する可能性があります。
現時点では、本脆弱性の活発な悪用状況に関する具体的な情報は報告されていません。
推奨対策
今すぐできる対策（優先度：高）
- ベンダーからの修正パッチの適用: openDCIMのベンダーから修正パッチがリリースされている場合は、速やかに適用することを強く推奨します。
- データベースへのアクセス制御の強化: データベースへのアクセス権限を最小限に制限し、不正な変更が行われないよう厳格に管理してください。特に、ウェブアプリケーションからデータベースへの書き込み権限は必要最小限に絞るべきです。
中長期的な対策
- 定期的なセキュリティアップデートの確認: openDCIMおよび関連するミドルウェア、OSのセキュリティアップデート情報を定期的に確認し、常に最新の状態を保つようにしてください。
- WAF（Web Application Firewall）の導入検討: WAFを導入することで、ウェブアプリケーションへの不正な入力を検知・遮断し、本脆弱性のような攻撃から保護できる可能性があります。
- セキュリティ監視の強化: サーバーやデータベースのログを継続的に監視し、不審なアクティビティやエラーが検出された場合に速やかに対応できる体制を構築してください。
一時的な緩和策
修正パッチの適用が困難な場合や、緊急対応が必要な場合は、以下の緩和策を検討してください。
report_network_map.phpへのアクセス制限: 可能であれば、このファイルへの外部からのアクセスを制限し、信頼できるユーザーやIPアドレスからのみアクセスできるように設定を検討してください。- データベースの変更監視:
fac_Config.dotを含む設定値が不正に変更されていないか、データベースの変更履歴を厳重に監視してください。
確認方法
- openDCIMのバージョン確認: 現在利用しているopenDCIMのバージョンが23.04であり、かつ特定のコミット（4467e9c4）以前であるかを確認してください。
- データベース設定値の確認: データベース内の
fac_Config.dotの値が意図しない形で変更されていないか確認してください。