CVE-2026-41262 in Fleet
要約
〜によって VulDB • 2026年08月26日
Fleetはosqueryを基盤としたオープンソースのデバイス管理プラットフォームです。バージョン4.85.0より前では、グローバルポリシー読み取りエンドポイント（GET /api/latest/fleet/policies/{policy_id}）が要求されたポリシーのチーム所有権を検証しないため、任意の単一チームで観測者レベルのアクセス権を持つ認証済みユーザーは、他のすべてのチームに属するポリシーの詳細を完全に読み取ることができ、Fleetのチーム分離モデルを回避できます。このハンドラは、TeamIDがnilである空のポリシーオブジェクトに対してリクエストを認可し、これは任意のチームでロールを持つユーザーであれば誰でも許可される認可ルールであり、その後、チームフィルタなしでIDによりポリシーを取得してポストフェッチ後のスコープチェックを行わずに返します。ポリシーIDは連続した整数であるため、攻撃者はそれらを列挙して、他のチームのポリシーSQLクエリ、ホストのパス/失敗カウント、および関連するソフトウェアインストーラやスクリプトメタデータを取得し、チーム境界を越えてセキュリティ監視戦略とコンプライアンス姿勢を暴露します。この問題はバージョン4.85.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.