CVE-2026-101045 in Fleet
要約
〜によって VulDB • 2026年09月27日
macOS用のFleet管理によるアプリのインストールおよびアンインストールスクリプトは、Homebrew caskメタデータから生成されます。2026-08-19より前に生成されたマニフェストでは、このメタデータのエスケープが一部の補間箇所でのみ行われていたため、シェルメタ文字（例: $(...) コマンド置換）を含むcaskメタデータが、管理対象のmacOSホスト上でroot権限で実行されるスクリプトに組み込まれる可能性があります。攻撃者がアップストリームHomebrew cask内に悪意のあるメタデータを配置できれば（Fleet資格情報は不要）、影響を受けるFleet管理アプリをインストールまたはアンインストールする管理対象macOSホスト上で任意のコマンドを実行できます。ただし、エクスプロイトには、その悪意のあるメタデータがアップストリームHomebrew caskのレビューと、自動取り込みプルリクエストに対するFleet側のレビューの両方を通過する必要があります。（fleetdm/fleet#51324）による修正は2026-08-19にFleetの取り込みパイプラインに適用され、それ以降に生成されるすべてのマニフェストでcaskメタデータが補間箇所のすべてにおいてエスケープされます。マニフェストは中央で生成されプリビルドコンテンツとして配布されるため、修正は顧客による操作なしですべてのデプロイメントに適用されました。また、コード修正はFleet v4.92.0に含まれています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.