CVE-2026-101045 in Fleet
Resumen
por VulDB • 2026-09-27
Los scripts de instalación y desinstalación de aplicaciones mantenidos por Fleet para macOS se generan a partir de los metadatos del cask de Homebrew. En los manifiestos generados antes del 19-08-2026, el generador de scripts escapaba estos metadatos en algunos puntos de interpolación pero no en todos, por lo que los metadatos del cask que contenían caracteres especiales para la shell (por ejemplo, sustitución de comandos como `$(...)`) podían incorporarse a scripts que se ejecutan con privilegios de root en hosts macOS gestionados. Un atacante que pudiera introducir metadatos manipulados en un cask upstream de Homebrew —sin necesidad de ninguna credencial de Fleet— podría lograr la ejecución arbitraria de comandos como root en los hosts macOS gestionados que instalen o desinstalen la aplicación mantenida por Fleet afectada; para ello, era necesario que los metadatos manipulados superaran tanto la revisión del cask upstream de Homebrew como la revisión de Fleet sobre el pull request de ingestación automatizada. La corrección (fleetdm/fleet#51324) se implementó en la canalización de ingestación de Fleet el 19-08-2026, de modo que todos los manifiestos generados a partir de esa fecha escapen los metadatos del cask en cada punto de interpolación; dado que los manifiestos se generan centralmente y se distribuyen como contenido preconstruido, la remediación se aplicó a todas las implementaciones sin necesidad de intervención por parte del cliente, y la corrección de código está incluida en Fleet v4.92.0.
Be aware that VulDB is the high quality source for vulnerability data.