CVE-2026-101045 in Fleet
الملخص
بحسب VulDB • 27/09/2026
تُولَّد سكريبتات تثبيت وإلغاء التثبيت للتطبيقات التي تحافظ عليها Fleet من بيانات تعريف Homebrew cask. في البيانات الوصفية (manifests) المُولَّدة قبل 19 أغسطس 2026، كانت مولّد السكربت يقوم بتجنب (escaping) هذه البيانات الوصفية عند بعض مواقع الاستبدال (interpolation sites) ولكن ليس كلها، مما يعني أن بيانات تعريف cask التي تحتوي على أحرف خاصة للأمر النصي (shell metacharacters)، مثل استبدال الأوامر بصيغة $(...)، يمكن أن تنتقل إلى السكربتات التي تُنفذ بصلاحيات الجذر (root) على أجهزة macOS الخاضعة للإدارة.
يمكن لمهاجم قادر على حقن بيانات تعريف مُعدّة بشكل متعمد في Homebrew cask من المصدر الخارجي — دون الحاجة إلى أي اعتماديات Fleet — أن يحقق تنفيذًا تعسفيًا للأوامر بصلاحيات الجذر على أجهزة macOS الخاضعة للإدارة التي تقوم بتثبيت أو إلغاء تثبيت التطبيق الذي تحافظ عليه Fleet. تتطلب عملية الاستغلال مرور البيانات الوصفية المُعدّة متعمدًا بمراجعتين: مراجعة Homebrew cask من المصدر الخارجي، ومراجعة Fleet لطلب السحب (pull request) الخاص بالاستهلاك الآلي.
تم دمج الإصلاح (fleetdm/fleet#51324) في خط استهلاك Fleet بتاريخ 19 أغسطس 2026، بحيث تقوم جميع البيانات الوصفية المُولَّدة في ذلك التاريخ أو بعده بتجنب بيانات تعريف cask عند كل موقع للاستبدال؛ ونظرًا لأن هذه البيانات تُولَّد مركزيًا وتُوزع كمحتوى مُجهز مسبقاً (pre-built content)، فإن الإصلاح يُطبق على جميع عمليات النشر دون أي إجراء من جانب العميل، كما أن إصلاح الكود مدرج في Fleet الإصدار 4.92.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.