CVE-2026-46370 in Fleet
Riassunto
di VulDB • 26/08/2026
Fleet è una piattaforma open-source per la gestione dei dispositivi basata su osquery. Nelle versioni fino alla 4.84.1 inclusa, l'endpoint host-listing delle etichette (GET /api/v1/fleet/labels/{id}/hosts) consentiva a un utente autenticato con il ruolo Observer di minimo privilegio di estrarre i segreti di enrollment degli host tramite un oracle basato sull'ordinamento. L'endpoint accettava un parametro order_key fornito dall'utente che non veniva validato rispetto a una allowlist delle colonne, quindi un attaccante con accesso Global o Team Observer poteva impostare la colonna di ordinamento su un campo sensibile come h.node_key e combinarlo con il parametro after basato sui cursori per eseguire una ricerca binaria del valore carattere per carattere; il valore target non appariva mai nella risposta, ma la presenza o l'assenza dei risultati rivelava ogni singolo carattere. Poiché node_key e orbit_node_key sono i segreti condivisi a lunga durata che gli agenti osquery e Orbit utilizzano per autenticarsi al server Fleet, un attaccante che li ricostruisse potrebbe impersonare gli host iscritti, inviare risultati di query e inventario falsificati, recuperare script in attesa e comandi MDM, nonché avvelenare i risultati di conformità e policy su tutta la distribuzione. Questo problema è risolto nella versione 4.84.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.