CVE-2026-46356

Wysokie

Opublikowano: 14/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W oprogramowaniu do zarządzania urządzeniami Fleet, przed wersją 4.80.1, występuje podatność w logice ekstrakcji adresów IP, która pozwala nieautoryzowanym atakującym na obejście limitów API poprzez fałszowanie nagłówków IP klienta. Może to umożliwić próby ataków brute-force lub inne nadużycia przeciwko instancjom Fleet wystawionym na publiczny internet.

Ocena ryzyka

Organizacje mogą być narażone na ataki brute-force lub kradzież poświadczeń, co może prowadzić do nieautoryzowanego dostępu do systemów. Szczególnie narażone są instancje Fleet bez zabezpieczeń w postaci reverse proxy.

Rekomendacja

Zaleca się aktualizację do wersji 4.80.1 lub nowszej oraz wdrożenie reverse proxy, aby zabezpieczyć instancje Fleet przed tego typu atakami.

Inne podatności w Fleet device management software

CVE-2026-24899Wysokie
W oprogramowaniu do zarządzania urządzeniami Fleet, przed wersją 4.82.0, występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala na akceptację tokenów uwierzytelniających z dowolnego dzierżawcy Azure AD. Problem wynika z braku egzekwowania wymagań dotyczących pól `aud` i `iss` w podpisach JWT.

Oryginalny opis (angielski, źródło NVD)

Fleet is open source device management software. Prior to version 4.80.1, a vulnerability in Fleet's IP extraction logic allows unauthenticated attackers to bypass API rate limiting by spoofing client IP headers. This may allow brute-force login attempts or other abuse against Fleet instances exposed to the public internet. Fleet extracted client IP addresses from request headers (`True-Client-IP`, `X-Real-IP`, `X-Forwarded-For`) without validating that those headers originate from a trusted proxy. The extracted IP is used as the key for rate limiting and IP ban decisions. As a result, an attacker could rotate the value of these headers on each request, causing Fleet to treat each attempt as coming from a different client. This effectively bypasses per-IP rate limits on sensitive endpoints such as the login API, enabling unrestricted brute-force or credential stuffing attacks. This issue primarily affects Fleet instances that are directly exposed to the internet without a reverse proxy