Vulnerabilidad en openITCOCKPIT (CVE-2026-24891)

openITCOCKPIT es una herramienta de monitorización de código abierto diseñada para diferentes motores de monitorización como Nagios, Naemon y Prometheus. Las versiones 5.3.1 e inferiores contienen un sumidero de deserialización insegura en la implementación del worker de Gearman. La función worker registrada como oitc_gearman llama a unserialize() de PHP en las cargas útiles de los trabajos sin aplicar restricciones de clase ni validar el origen de los datos. Aunque el despliegue previsto asume que solo los componentes internos de confianza encolan trabajos de Gearman, este límite de confianza no se aplica en el código de la aplicación. En entornos donde el servicio o worker de Gearman está expuesto a sistemas no confiables, un atacante puede enviar cargas útiles serializadas maliciosas para desencadenar una inyección de objetos PHP en el proceso del worker. Esta vulnerabilidad es explotable cuando Gearman escucha en interfaces no locales, el acceso a la red a TCP/4730 no está restringido, o los sistemas no confiables pueden encolar trabajos. Los despliegues predeterminados y correctamente reforzados pueden no ser inmediatamente explotables, pero el sumidero inseguro permanece presente en el código independientemente de la configuración del despliegue. Aplicar este límite de confianza en el código reduciría significativamente el riesgo y evitaría la explotación en entornos mal configurados. Este problema ha sido corregido en la versión 5.4.0.