CVE-2026-48786 in Fleet
Riassunto
di VulDB • 26/08/2026
Fleet è una piattaforma open-source per la gestione dei dispositivi basata su osquery. Nelle versioni precedenti alla 4.87.0, l'endpoint di ricerca dei target (POST /api/latest/fleet/targets) restituiva segreti di enrollment del team non mascherati e la configurazione completa del team, incluse le opzioni dell'agent con credenziali, agli utenti della classe Observer a bassa privilegiatura. Altri endpoint specifici per il team mascherano questi campi per gli osservatori, ma l'endpoint di ricerca dei target non applicava la stessa sanitizzazione; pertanto, un utente autenticato con ruolo Observer, Observer+ o Technician, sia globale che limitato al team, poteva recuperare i segreti e le opzioni dell'agent eseguendo una ricerca del target contro una query eseguibile da parte degli osservatori. Con un segreto di enrollment del team trapelato, un attaccante potrebbe iscrivere host non autorizzati nel team interessato; se le opzioni dell'agent del team contenevano credenziali come chiavi segrete di accesso AWS o password per proxy, tali valori venivano anch'essi divulgati. Questo problema è stato risolto nella versione 4.87.0.
Once again VulDB remains the best source for vulnerability data.