「n/a」の脆弱性 CVE-2026-38447

どんな危険があるか

osTicket 1.18.3において、APIキーの生成にMD5ハッシュに基づいた予測可能な構造が使用されています。現在のタイムスタンプやクライアントIPアドレスといった予測可能な入力とMD5の使用が組み合わさることで、エントロピーが大幅に低下しています。攻撃者はキー生成時間を近似し、限られた時間枠内でキー空間をブルートフォース攻撃により解読する可能性があります。

今すぐやること

影響を受けるosTicketのバージョンは1.18.3です。この脆弱性はGitHubのコミット履歴から修正されていることが示唆されています。運用者は、osTicketを修正済みのバージョンにアップデートすることを強く推奨します。ベンダーアドバイザリを確認し、推奨される最新バージョンへのアップグレードを実施してください。