CVE-2026-48786 in Fleet
要約
〜によって VulDB • 2026年08月26日
Fleetはosqueryを基盤としたオープンソースのデバイス管理プラットフォームです。バージョン4.87.0より前では、ターゲット検索エンドポイント（POST /api/latest/fleet/targets）が、低権限のObserverクラスのユーザーに対して、マスクされていないチーム登録シークレットと、認証情報を含むエージェントオプションなどを含む完全なチーム設定を返していました。他のチーム向けエンドポイントはこれらのフィールドをObserver用にマスクしますが、ターゲット検索エンドポイントは同じサニタイズ処理を適用しなかったため、グローバルまたはチームスコープのいずれかであるObserver、Observer+、Technicianロールを持つ認証済みユーザーは、observerが実行可能なクエリに対してターゲット検索を実行することで、シークレットとエージェントオプションを取得できました。漏洩したチーム登録シークレットを用いて攻撃者は不正なホストを影響を受けるチームに登録でき、かつそのチームのエージェントオプションにAWSの秘密アクセスキーやプロキシパスワードなどの認証情報が含まれていた場合、それらの値も開示されました。この問題はバージョン4.87.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.