CVE-2026-46370 in Fleet
Zusammenfassung
von VulDB • 26.08.2026
Fleet ist eine Open-Source-Plattform zur Geräteverwaltung, die auf osquery basiert. In den Versionen bis einschließlich 4.84.1 ermöglichte der Endpunkt für die Auflistung von Hosts nach Labels (GET /api/v1/fleet/labels/{id}/hosts) einem authentifizierten Benutzer mit der Rolle „Observer“ (Beobachter), die niedrigsten Berechtigungen zu haben, Geheimnisse zur Registrierung von Hosts durch einen Sortierordnung-Oracle (sort-order oracle) auszulesen. Der Endpunkt akzeptierte einen benutzergesteuerten Parameter `order_key`, der nicht gegen eine Whitelist gültiger Spalten validiert wurde. Daher konnte ein Angreifer mit Zugriff als Global Observer oder Team Observer die Sortierspalte auf ein sensibles Feld wie `h.node_key` festlegen und diesen zusammen mit dem cursorbasierten Parameter `after` verwenden, um den Wert durch binäre Suche zeichenweise zu ermitteln; der Zielwert erschien nie in der Antwort, aber das Vorhandensein oder Fehlen von Ergebnissen offenbart jedes Zeichen. Da `node_key` und `orbit_node_key` langfristige gemeinsame Geheimnisse sind, die osquery- und Orbit-Agenten zur Authentifizierung am Fleet-Server verwenden, könnte ein Angreifer, der diese rekonstruiert hat, registrierte Hosts imitieren, gefälschte Abfrageergebnisse und Inventardaten einreichen sowie ausstehende Skripte und MDM-Befehle abrufen und die Ergebnisse von Compliance-Checks und Richtlinien in der gesamten Bereitstellung vergiften. Dieses Problem wurde in Version 4.84.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.