CVE-2026-72657
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Fleet Server może prowadzić do ujawnienia informacji. Decyzja autoryzacyjna dla pobierania artefaktów opierała się na wartości dostarczonej przez klienta, która nie była weryfikowana z rekordem serwera dotyczącym przypisania agenta. Uwierzytelniona strona posiadająca ważne poświadczenia agenta może pobrać politykę, do której agent nie jest przypisany.
Ocena ryzyka
Osoba z ważnymi poświadczeniami agenta może uzyskać dostęp do polityk niezwiązanych z jej agentem, co może prowadzić do ujawnienia poufnych konfiguracji i naruszenia integralności zarządzania.
Rekomendacja
Zaktualizuj Fleet Server do wersji z poprawką i upewnij się, że autoryzacja opiera się na danych serwerowych, a nie na wartościach klienta. Przeprowadź audyt dostępu do pobierania artefaktów.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key (CWE-639) in Fleet Server can lead to information disclosure via Manipulating User-Controlled Variables (CAPEC-77). The authorization decision for artifact downloads relied on a client-supplied value that was persisted without being validated against the server-side record of the requesting agent's assignment. An authenticated party in possession of a valid enrolled agent credential could therefore retrieve a policy the agent is not assigned to.