OpenOLAT: VelocityテンプレートにおけるServer-Side Template Injection (SSTI) によりリモートコード実行が可能

OpenOLAT の CVE-2026-28228 は、Author ロールの認証済みユーザーがリマインダーメールテンプレートに Velocity ディレクティブを挿入することを可能にします。これらのリマインダーが処理されると（手動または毎日の cron ジョブ経由）、挿入されたディレクティブはサーバー側で評価されます。攻撃者は、Velocity の #set ディレクティブと Java リフレクションを組み合わせることで、任意のオブジェクトをインスタンス化し、リモートコード実行につながる可能性があります。これにより、システム侵害、データ漏洩、またはサービス拒否が発生する可能性があります。CVSS スコア 8.8 は、高い重大度リスクを示しており、迅速な対応が必要です。影響を受けるバージョンは、19.1.31、20.1.18、および 20.2.5 以前です。

Organizations and institutions utilizing OpenOLAT for e-learning and training are at risk, particularly those running vulnerable versions (≤ 20.2.5). Environments where the Author role has broad permissions and access to email template modification are especially susceptible. Shared hosting environments running OpenOLAT should be carefully assessed for potential cross-tenant impact.

• java / server:

ps aux | grep -i openolat

• java / server:

journalctl -u openolat | grep -i "Velocity"

• generic web:

curl -I https://<your_openolat_url>/ | grep -i "OpenOLAT"

1. 2026-03-30Disclosure

   disclosure

1. 予約済み2026-02-25
2. 公開日2026-03-30
3. 更新日2026-03-31
4. EPSS 更新日2026-04-07

現時点では、OpenOLAT からこの脆弱性に対する公式な修正は提供されていません。最も効果的な軽減策は、19.1.31、20.1.18、または 20.2.5 バージョンにできるだけ早くアップグレードすることです。その間は、Author ロールを信頼できるユーザーに制限し、リマインダーメールテンプレートに潜在的な挿入がないか注意深く確認してください。入力検証やデータサニタイズなどの追加のセキュリティコントロールを実装することで、リスクを軽減できます。Velocity 実行に関連するサーバーログの疑わしいアクティビティを監視することも重要です。OpenOLAT のセキュリティアップデートに関する情報を常に把握し、パッチを迅速に適用することが不可欠です。