JVN iPediaは2026年10月19日、ForemanとRed Hat Satelliteに影響する脆弱性「CVE-2026-12542」の情報を掲載しました。ローカルの攻撃者が任意のシステムコマンドを実行する恐れがあり、利用中のバージョンと修正情報の確認が必要です。
対象はForemanとRed Hat Satelliteの特定バージョン
問題があるのは、Foremanの「foreman-tail」です。利用者が指定した引数を安全に処理せず、文字列を命令として実行する「eval」で動かすことが原因です。意図しないOSの命令を実行させる、OSコマンド注入の脆弱性に当たります。
影響対象として、次のバージョンが挙げられています。
- Foreman：1.5.0から3.19.1、および5.0.0
- Red Hat Satellite：6.16以上6.16.4未満
- Red Hat Satellite：6.17以上6.17.12未満
- Red Hat Satellite：6.18以上6.18.10未満
- Red Hat Satellite：6.19以上6.19.5未満
- Red Hat Satellite：6.0
掲載されたOpenwallの情報によると、Foremanは3.19.2と5.0.1で修正済みです。一方、Red Hat Satelliteは、系列ごとに影響範囲が分かれています。バージョンの大きな番号だけで判断せず、末尾まで照合する必要があります。
JVN iPediaは、影響製品の詳細をベンダ情報と参考情報で確認し、適切な対策を取るよう求めています。
ローカルからの攻撃で、情報漏えいや停止の恐れ
NVDによる深刻度の指標「CVSS v3」の基本値は7.8で、深刻度は「重要」です。攻撃条件の複雑さは「低」、必要な特権レベルも「低」とされています。攻撃に利用者の関与は不要です。
JVN iPediaは、対象ソフトウェアが扱う全情報の漏えいや改ざん、ソフトウェアの完全な停止につながる恐れがあるとしています。ただし、これは脆弱性によって起こり得る影響であり、被害が発生したという発表ではありません。
今回の説明は、ローカルの攻撃者によるコマンド実行です。インターネット越しに誰でも直接攻撃できる脆弱性と読み替えず、対象システムにアクセスできるアカウントや、その権限も併せて確認するのが実務上のポイントです。
影響する会社・しない会社
- 影響する: Foreman 1.5.0から3.19.1、または5.0.0を利用している会社です。foreman-tailの問題として、運用担当者に確認を依頼する必要があります。
- 影響する: 上記のRed Hat Satelliteの対象バージョンを利用している会社です。運用を委託している場合も、委託先から利用版と対策状況を確認してください。
- 影響しない: Foreman 3.19.2または5.0.1では、本件は修正済みとされています。これは本脆弱性についての情報で、製品全体に問題がないという意味ではありません。
- 影響しない: ForemanとRed Hat Satelliteを利用していない会社は、今回列挙された製品・バージョンの対象には当たりません。ほかのRed Hat製品まで一律に影響するとする記載はありません。
情シスが今日やること
- 今日の確認作業として、IT資産台帳とサーバーの運用記録から、ForemanとRed Hat Satelliteの有無を調べます。製品名だけでなく、末尾まで含むバージョンと管理担当者を記録してください。版が不明なら、運用担当者か委託先に照会します。
- JVN iPediaの「CVE-2026-12542」にあるベンダ情報・参考情報を確認し、自社の版を対象範囲と照合します。Foremanの修正済み版と、Red Hat Satelliteの各系列の情報を混同しないよう、製品ごとに結果を残します。
- 対象システムにアクセスできるアカウントと権限を、運用担当者に確認してもらいます。セキュリティ担当者には、ローカル攻撃が条件であることと、情報漏えい・改ざん・停止の恐れを伝えます。
- 対象と判明した環境は、ベンダ情報に沿って更新などの対策を決めます。システム責任者と委託先に、対応予定日と完了報告を依頼してください。掲載情報には一律の対応期限が示されていないため、社内で期限を決め、対策後のバージョンまで記録します。
