CVE-2026-41262 in Fleet
요약
\~에 의해 VulDB • 2026. 08. 27.
Fleet는 osquery를 기반으로 구축된 오픈소스 디바이스 관리 플랫폼입니다. 버전 4.85.0 이전에서는 글로벌 정책 읽기 엔드포인트(GET /api/latest/fleet/policies/{policy_id})가 요청된 정책의 팀 소유권을 검증하지 않아, 모든 단일 팀에서 관찰자(observer) 수준의 접근 권한을 가진 인증된 사용자가 다른 모든 팀에 속한 정책의 전체 세부 정보를 읽고 Fleet의 팀 격리 모델을 우회할 수 있습니다. 핸들러는 TeamID가 nil인 빈 정책 객체와 요청을 승인하며, 이는 어떤 팀에서도 역할을 보유한 사용자에게 허용되는 인증 규칙입니다. 이후 시스템은 팀 필터 없이 ID로 정책을 조회하여 후조회 스코프 검사(post-fetch scope check) 없이 반환합니다. 정책 ID는 순차적인 정수이므로 공격자는 이를 열거하여 다른 팀의 정책 SQL 쿼리, 호스트 통과 및 실패 카운트, 그리고 관련 소프트웨어 설치 프로그램 및 스크립트 메타데이터를 읽을 수 있으며, 이는 팀 경계 전반에 걸쳐 보안 모니터링 전략과 준수 상태를 노출시킵니다. 이 문제는 버전 4.85.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.