CVE-2026-41262
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Fleet przed wersją 4.85.0 zawiera podatność w punkcie końcowym odczytu globalnych polityk (GET /api/latest/fleet/policies/{policy_id}), która nie weryfikuje przynależności polityki do zespołu. Uwierzytelniony użytkownik z dostępem obserwatora do dowolnego zespołu może odczytać szczegóły polityk innych zespołów, omijając izolację zespołów. Poprawka jest w wersji 4.85.0.
Ocena ryzyka
Ujawnienie polityk innych zespołów może ujawnić strategie monitorowania bezpieczeństwa i postawę zgodności, naruszając izolację między zespołami.
Rekomendacja
Zaktualizuj Fleet do wersji 4.85.0 lub nowszej.
Inne podatności w Fleet
Zobacz wszystkie- CVE-2026-54245Wysokie
Fleet to platforma do zarządzania urządzeniami typu open source. W wersjach przed 4.86.2 integracja Okta conditional access w Fleet Premium jest podatna na wstrzyknięcie SQL przez wartość dostarczaną przez hosta, używaną w zapytaniu do bazy bez odpowiedniej parametryzacji. Atakujący kontrolujący jeden zarejestrowany host może odczytać lub zmodyfikować dowolne dane w bazie Fleet, a przez ujawnienie tokenów sesji może uzyskać dostęp administratora globalnego i wykonać zdalny kod.
- CVE-2026-46371Średnie
Fleet do wersji 4.84.1 zawiera podatność w punkcie końcowym listowania poleceń Apple MDM (GET /api/v1/fleet/mdm/apple/commands), która pozwala uwierzytelnionemu użytkownikowi z rolą Observer na wyodrębnienie wrażliwych wartości, takich jak sekrety rejestracji hostów i tokeny APNs, poprzez sort-order oracle. Atakujący może manipulować parametrem order_key i użyć binarnego przeszukiwania do odtworzenia wartości znak po znaku. Poprawka jest w wersji 4.84.2.
- CVE-2026-46370Średnie
Fleet do wersji 4.84.1 zawiera podatność w punkcie końcowym listowania hostów etykiet (GET /api/v1/fleet/labels/{id}/hosts), która pozwala uwierzytelnionemu użytkownikowi z rolą Observer na wyodrębnienie sekretów rejestracji hostów poprzez sort-order oracle. Atakujący może manipulować parametrem order_key i odtworzyć node_key lub orbit_node_key, co umożliwia podszywanie się pod hosty. Poprawka jest w wersji 4.84.2.
- CVE-2026-48786Średnie
Fleet przed wersją 4.87.0 zawiera podatność w punkcie końcowym wyszukiwania celów (POST /api/latest/fleet/targets), która zwraca niezmaskowane sekrety rejestracji zespołów i pełną konfigurację zespołu, w tym opcje agentów z poświadczeniami, użytkownikom o niskich uprawnieniach (Observer, Observer+, Technician). Poprawka jest w wersji 4.87.0.
- CVE-2026-44938Wysokie
Podatność w narzędziu Fleet umożliwia atakującemu z dostępem do repozytorium Git nadpisanie etykiet wymuszania standardów bezpieczeństwa Pod (PSS) w docelowej przestrzeni nazw. Dzieje się tak, ponieważ agent-side deployer nie filtruje wrażliwych kluczy z namespaceLabels w pliku fleet.yaml.
Oryginalny opis (angielski, źródło NVD)
Fleet is an open-source device management platform built on osquery. In versions prior to 4.85.0, the global policy read endpoint (GET /api/latest/fleet/policies/{policy_id}) fails to verify team ownership of the requested policy, allowing an authenticated user with observer-level access on any single team to read the full details of policies belonging to any other team and bypass Fleet's team isolation model. The handler authorizes the request against an empty policy object whose TeamID is nil, which an authorization rule permits for any user holding a role on any team, and then fetches the policy by ID with no team filter and returns it without any post-fetch scope check. Because policy IDs are sequential integers, an attacker can enumerate them to read other teams' policy SQL queries, host pass and fail counts, and associated software-installer and script metadata, exposing security-monitoring strategies and compliance posture across team boundaries. This issue is fixed in version 4.85.0.