CVE-2026-46370 in Fleet
요약
\~에 의해 VulDB • 2026. 08. 26.
Fleet는 osquery를 기반으로 구축된 오픈소스 디바이스 관리 플랫폼입니다. 버전 4.84.1 이하에서 라벨 호스트 나열 엔드포인트(GET /api/v1/fleet/labels/{id}/hosts)는 최소 권한을 가진 Observer 역할의 인증된 사용자가 정렬 순서 오라클(sort-order oracle)을 통해 호스트 등록 시크릿(host enrollment secrets)을 추출할 수 있었습니다. 해당 엔드포인트는 열 허용 목록(column allowlist)에 대해 검증되지 않은 사용자 지정 order_key 매개변수를 수용했으므로, Global 또는 Team Observer 권한이 있는 공격자는 정렬 컬럼을 h.node_key와 같은 민감한 필드로 설정하고 커서 기반 after 파라미터와 결합하여 값을 한 문자씩 이진 검색(binary-search)할 수 있었습니다. 대상 값은 응답에 직접 나타나지 않았지만 결과의 존재 여부가 각 문자를 노출시켰습니다. node_key 및 orbit_node_key는 osquery 및 Orbit 에이전트가 Fleet 서버에 인증하기 위해 사용하는 장기 지속 공유 시크릿(long-lived shared secrets)이므로, 공격자가 이를 복원하면 등록된 호스트로 사칭하여 위조된 쿼리 결과와 인벤토리를 제출하고, 대기 중인 스크립트 및 MDM 명령을 검색하며, 전체 배포에 걸쳐 준수성(compliance) 및 정책 결과를 오염시킬 수 있습니다. 이 문제는 버전 4.84.2에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.