CVE-2026-101045 in Fleet
Résumé
par VulDB • 27/09/2026
Les scripts d'installation et de désinstallation des applications maintenus par Fleet pour macOS sont générés à partir des métadonnées du cask Homebrew. Dans les manifests générés avant le 19 août 2026, le générateur de scripts a échappé (escaped) ces métadonnées à certains sites d'interpolation mais pas à tous ; ainsi, les métadonnées du cask contenant des caractères spéciaux shell (par exemple la substitution de commande `$(...)`) pouvaient être intégrées dans des scripts s'exécutant en tant que root sur les hôtes macOS gérés. Un attaquant qui parviendrait à injecter des métadonnées fabriquées dans un cask Homebrew amont — sans avoir besoin d'identifiants Fleet — pourrait obtenir une exécution de commandes arbitraire en tant que root sur les hôtes macOS gérés installant ou désinstallant l'applicatif maintenu par Fleet concerné ; l'exploitation nécessitait que les métadonnées fabriquées passent à la fois la revue du cask Homebrew amont et celle de Fleet concernant la pull request d'ingestion automatisée. La correction (fleetdm/fleet#51324) a été intégrée dans le pipeline d'ingestion de Fleet le 19 août 2026, afin que tous les manifests générés à partir ou après cette date échappent les métadonnées du cask à chaque site d'interpolation ; comme les manifests sont générés centrallement et distribués en tant que contenu préconstruit, la remédiation s'est appliquée à tous les déploiements sans action requise des clients, et la correction de code est incluse dans Fleet v4.92.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.