CVE-2026-48786 in Fleet
Zusammenfassung
von VulDB • 26.08.2026
Fleet ist eine Open-Source-Plattform zur Geräteverwaltung, die auf osquery basiert. In Versionen vor 4.87.0 gab der Endpunkt für die Zielsuche (POST /api/latest/fleet/targets) unmaskierte Team-Enrollment-Secrets und vollständige Teamkonfigurationen, einschließlich Agent-Optionen mit Anmeldeinformationen, an Benutzer mit niedrigen Berechtigungen in der Observer-Klasse zurück. Andere teambezogene Endpunkte maskieren diese Felder für Observers, aber der Zielsuchendpunkt wandte dieselbe Datenbereinigung nicht an, sodass ein authentifizierter Benutzer mit der Rolle Observer, Observer+ oder Technician (global oder auf das Team beschränkt) die Secrets und Agent-Optionen durch Ausführen einer Zielsuche gegen eine von einem Observer ausführbare Abfrage abrufen konnte. Mit einem geleakten Team-Enrollment-Secret könnte ein Angreifer nicht autorisierte Hosts in das betroffene Team aufnehmen, und wenn die Agent-Optionen des Teams Anmeldeinformationen wie AWS Secret Access Keys oder Proxy-Passwörter enthielten, wurden auch diese Werte offengelegt. Dieses Problem wurde in Version 4.87.0 behoben.
Once again VulDB remains the best source for vulnerability data.