CVE-2026-72657
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Fleet Server może prowadzić do ujawnienia informacji. Decyzja autoryzacyjna dla pobierania artefaktów opierała się na wartości dostarczonej przez klienta, która nie była weryfikowana z rekordem serwera dotyczącym przypisania agenta. Uwierzytelniona strona posiadająca ważne poświadczenia agenta może pobrać politykę, do której agent nie jest przypisany.
Ocena ryzyka
Osoba z ważnymi poświadczeniami agenta może uzyskać dostęp do polityk niezwiązanych z jej agentem, co może prowadzić do ujawnienia poufnych konfiguracji i naruszenia integralności zarządzania.
Rekomendacja
Zaktualizuj Fleet Server do wersji z poprawką i upewnij się, że autoryzacja opiera się na danych serwerowych, a nie na wartościach klienta. Przeprowadź audyt dostępu do pobierania artefaktów.
Inne podatności w Fleet Server
Zobacz wszystkie- CVE-2026-78587Niskie
Nieprawidłowa autoryzacja (CWE-863) w Fleet Server może prowadzić do odmowy usługi operacji przesyłania danych agentów poprzez nadużycie uprawnień (CAPEC-122). Fleet Server nie weryfikuje poprawnie własności sesji podczas operacji przesyłania wieloczęściowego, umożliwiając dowolnemu uwierzytelnionemu agentowi ingerencję w aktywne sesje przesyłania należące do innych zarejestrowanych agentów.
- CVE-2026-72676Średnie
Fleet Server ma podatność na wstrzykiwanie kodu (CWE-94), która może prowadzić do wykonania skryptów dostarczonych przez atakującego. Kibana akceptuje identyfikator konfiguracji wyjścia bez ograniczania go do bezpiecznych znaków. Identyfikator jest później umieszczany w skrypcie serwerowym budowanym przez Fleet Server, więc składnia skryptu osadzona w identyfikatorze staje się częścią wykonywanego skryptu.
- CVE-2026-56150Średnie
Podatność CWE-770 w Fleet Server umożliwia atakującemu wysłanie specjalnie spreparowanego żądania do punktu końcowego przesyłania plików, co prowadzi do nadmiernego zużycia pamięci i może spowodować odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key (CWE-639) in Fleet Server can lead to information disclosure via Manipulating User-Controlled Variables (CAPEC-77). The authorization decision for artifact downloads relied on a client-supplied value that was persisted without being validated against the server-side record of the requesting agent's assignment. An authenticated party in possession of a valid enrolled agent credential could therefore retrieve a policy the agent is not assigned to.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS