CVE-2026-48786
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Fleet przed wersją 4.87.0 zawiera podatność w punkcie końcowym wyszukiwania celów (POST /api/latest/fleet/targets), która zwraca niezmaskowane sekrety rejestracji zespołów i pełną konfigurację zespołu, w tym opcje agentów z poświadczeniami, użytkownikom o niskich uprawnieniach (Observer, Observer+, Technician). Poprawka jest w wersji 4.87.0.
Ocena ryzyka
Ujawnienie sekretów rejestracji i poświadczeń może umożliwić atakującemu rejestrację nieautoryzowanych hostów oraz dostęp do wrażliwych danych uwierzytelniających.
Rekomendacja
Zaktualizuj Fleet do wersji 4.87.0 lub nowszej.
Inne podatności w Fleet
Zobacz wszystkie- CVE-2026-54245Wysokie
Fleet to platforma do zarządzania urządzeniami typu open source. W wersjach przed 4.86.2 integracja Okta conditional access w Fleet Premium jest podatna na wstrzyknięcie SQL przez wartość dostarczaną przez hosta, używaną w zapytaniu do bazy bez odpowiedniej parametryzacji. Atakujący kontrolujący jeden zarejestrowany host może odczytać lub zmodyfikować dowolne dane w bazie Fleet, a przez ujawnienie tokenów sesji może uzyskać dostęp administratora globalnego i wykonać zdalny kod.
- CVE-2026-46371Średnie
Fleet do wersji 4.84.1 zawiera podatność w punkcie końcowym listowania poleceń Apple MDM (GET /api/v1/fleet/mdm/apple/commands), która pozwala uwierzytelnionemu użytkownikowi z rolą Observer na wyodrębnienie wrażliwych wartości, takich jak sekrety rejestracji hostów i tokeny APNs, poprzez sort-order oracle. Atakujący może manipulować parametrem order_key i użyć binarnego przeszukiwania do odtworzenia wartości znak po znaku. Poprawka jest w wersji 4.84.2.
- CVE-2026-46370Średnie
Fleet do wersji 4.84.1 zawiera podatność w punkcie końcowym listowania hostów etykiet (GET /api/v1/fleet/labels/{id}/hosts), która pozwala uwierzytelnionemu użytkownikowi z rolą Observer na wyodrębnienie sekretów rejestracji hostów poprzez sort-order oracle. Atakujący może manipulować parametrem order_key i odtworzyć node_key lub orbit_node_key, co umożliwia podszywanie się pod hosty. Poprawka jest w wersji 4.84.2.
- CVE-2026-41262Średnie
Fleet przed wersją 4.85.0 zawiera podatność w punkcie końcowym odczytu globalnych polityk (GET /api/latest/fleet/policies/{policy_id}), która nie weryfikuje przynależności polityki do zespołu. Uwierzytelniony użytkownik z dostępem obserwatora do dowolnego zespołu może odczytać szczegóły polityk innych zespołów, omijając izolację zespołów. Poprawka jest w wersji 4.85.0.
- CVE-2026-44938Wysokie
Podatność w narzędziu Fleet umożliwia atakującemu z dostępem do repozytorium Git nadpisanie etykiet wymuszania standardów bezpieczeństwa Pod (PSS) w docelowej przestrzeni nazw. Dzieje się tak, ponieważ agent-side deployer nie filtruje wrażliwych kluczy z namespaceLabels w pliku fleet.yaml.
Oryginalny opis (angielski, źródło NVD)
Fleet is an open-source device management platform built on osquery. In versions prior to 4.87.0, the target search endpoint (POST /api/latest/fleet/targets) returned unmasked team enroll secrets and full team configuration, including credential-bearing agent options, to low-privilege observer-class users. Other team-facing endpoints mask these fields for observers, but the target search endpoint did not apply the same sanitization, so an authenticated user with the Observer, Observer+, or Technician role, whether global or team-scoped, could retrieve the secrets and agent options by performing a target search against an observer-runnable query. With a leaked team enroll secret an attacker could enroll unauthorized hosts into the affected team, and if the team's agent options contained credentials such as AWS secret access keys or proxy passwords, those values were disclosed as well. This issue is fixed in version 4.87.0.