CVE-2026-101045 in Fleet
सारांश
द्वारा VulDB • 27/09/2026
macOS के लिए फ्लीट-रक्षित ऐप इंस्टॉल और अनइंस्टॉल स्क्रिप्ट्स Homebrew cask metadata से उत्पन्न की जाती हैं। 19 अगस्त, 2026 से पहले उत्पन्न manifestों में, script generator ने interpolation sites के कुछ स्थानों पर इस metadata को escape किया था लेकिन सभी पर नहीं, इसलिए shell metacharacters (उदाहरण के लिए $(...) command substitution) वाले cask metadata उन scripts में शामिल हो सकते थे जो managed macOS hosts पर root के रूप में निष्पादित होते हैं। एक आक्रामक जो upstream Homebrew cask में crafted metadata को बिना किसी फ्लीट क्रेडेंशियल की आवश्यकता के पहुँचा सकता है, वह प्रभावित Fleet-रक्षित ऐप इंस्टॉल या अनइंस्टॉल करने वाले managed macOS hosts पर root के रूप में arbitrary command execution प्राप्त कर सकता है; exploitation के लिए crafted metadata को upstream Homebrew cask review और फ्लीट द्वारा automated ingestion pull request की समीक्षा दोनों से सफलतापूर्वक गुजरना आवश्यक था। सुधार (fleetdm/fleet#51324) 19 अगस्त, 2026 को फ्लीट के ingestion pipeline में लागू किया गया ताकि उस तारीख या उसके बाद उत्पन्न सभी manifestों में हर interpolation site पर cask metadata escape हो; चूंकि manifests केंद्रीय रूप से उत्पन्न किए जाते हैं और pre-built content के रूप में वितरित होते हैं, इसलिए remediation किसी भी ग्राहक क्रिया की आवश्यकता के बिना सभी deployments पर लागू होती है, और code fix Fleet v4.92.0 में शामिल है।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.