CVE-2026-5300: 未授权访问漏洞 in CoolerControl/coolercontrold

攻击者可以利用此漏洞未经授权地访问 CoolerControl/coolercontrold 系统中的敏感数据。这可能包括配置信息、监控数据或其他与冷却控制相关的敏感信息。攻击者不仅可以查看这些数据，还可以对其进行修改，从而可能导致冷却系统的行为异常，甚至可能造成物理损坏。由于该漏洞无需身份验证，攻击者可以通过简单的 HTTP 请求进行利用，攻击面广，潜在影响巨大。该漏洞的潜在影响类似于其他未授权访问漏洞，可能导致数据泄露、系统配置更改和潜在的物理设备损坏。

Systems utilizing CoolerControl/coolercontrold in environments with direct network exposure are at risk. This includes deployments where the daemon is accessible from the internet or untrusted networks. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable.

• linux / server:

journalctl -u coolercontrold | grep -i "HTTP request"

• linux / server:

ss -tulnp | grep coolercontrold

• generic web:

curl -I http://<coolercontrold_ip>/ | grep -i "server: coolercontrold"

1. 2026-04-08Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-08
3. EPSS 更新日期2026-04-16

缓解此漏洞的首要措施是立即升级到 CoolerControl/coolercontrold 4.0.0 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：在防火墙或代理服务器上配置规则，限制对 CoolerControl/coolercontrold 组件的 HTTP 访问。实施严格的访问控制策略，确保只有授权用户才能访问相关系统。监控系统日志，检测任何异常的 HTTP 请求或未经授权的访问尝试。在升级后，请验证 CoolerControl/coolercontrold 组件是否正常运行，并确认漏洞已成功修复。