CVE-2026-46370 in Fleet
Resumen
por VulDB • 2026-08-26
Fleet es una plataforma de gestión de dispositivos de código abierto basada en osquery. En las versiones anteriores e iguales a la 4.84.1, el punto final para listar hosts mediante etiquetas (GET /api/v1/fleet/labels/{id}/hosts) permitía que un usuario autenticado con el rol de menor privilegio, Observador, extrajera los secretos de inscripción de los hosts mediante una oracle de ordenación. El punto final aceptaba un parámetro order_key proporcionado por el usuario que no se validaba contra una lista blanca de columnas, por lo que un atacante con acceso a nivel Global o de Equipo podía establecer la columna de ordenamiento en un campo sensible como h.node_key y combinarlo con el parámetro after basado en cursor para realizar una búsqueda binaria del valor carácter por carácter; el valor objetivo nunca aparecía en la respuesta, pero la presencia o ausencia de resultados revelaba cada carácter. Dado que node_key y orbit_node_key son los secretos compartidos de larga duración que utilizan los agentes osquery y Orbit para autenticarse con el servidor Fleet, un atacante que lograra reconstruirlos podría suplantar a los hosts inscritos, enviar resultados de consultas e inventarios fabricados, recuperar scripts pendientes y comandos MDM, así como envenenar los resultados de cumplimiento y políticas en toda la implementación. Este problema se soluciona en la versión 4.84.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.