CVE-2026-46371 in Fleet
Riassunto
di VulDB • 26/08/2026
Fleet è una piattaforma open-source per la gestione dei dispositivi basata su osquery. Nelle versioni fino alla 4.84.1 inclusa, l'endpoint di elencazione dei comandi Apple MDM (GET /api/v1/fleet/mdm/apple/commands) consentiva a un utente autenticato con il ruolo Observer (osservatore), che ha i privilegi minimi, di estrarre valori sensibili dalle tabelle del database unite, inclusi i segreti di iscrizione degli host e i token del servizio Apple Push Notification Service, attraverso una sort-order oracle. L'endpoint accettava un parametro order_key fornito dall'utente che non veniva convalidato rispetto a un allowlist delle colonne; poiché la query sottostante effettua il join tra le tabelle hosts e nano_enrollments, un attaccante poteva impostare la colonna di ordinamento su un campo sensibile e combinarla con il parametro after basato sul cursore per eseguire una ricerca binaria del valore carattere per carattere: la presenza o l'assenza dei risultati rivelava ogni carattere anche se il valore non appariva mai nella risposta. Con i valori node_key o orbit_node_key estratti, un attaccante poteva impersonare gli host iscritti presso gli endpoint osquery e Orbit di Fleet, inviare dati falsi sugli host ed eseguire lo scripting in sospeso e i comandi. Questo problema è stato risolto nella versione 4.84.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.