CVE-2026-101045 in Fleet
Sumário
de VulDB • 27/09/2026
Os scripts de instalação e desinstalação de aplicativos mantidos pelo Fleet para macOS são gerados a partir dos metadados do Homebrew cask. Nos manifests gerados antes de 19/08/2026, o gerador de scripts escapou desses metadados em alguns locais de interpolação, mas não em todos; portanto, os metadados do cask que contêm caracteres especiais de shell (por exemplo, substituição de comando `$(...)`) podiam ser incorporados a scripts executados como root nos hosts macOS gerenciados. Um atacante capaz de inserir metadados manipulados em um Homebrew cask upstream — sem precisar de credenciais do Fleet — poderia obter execução arbitrária de comandos como root nos hosts macOS gerenciados que instalam ou desinstalam o aplicativo mantido pelo Fleet afetado; a exploração exigia que os metadados manipulados passassem tanto pela revisão do Homebrew cask upstream quanto pela revisão do Fleet da pull request de ingestão automatizada. A correção (fleetdm/fleet#51324) foi integrada ao pipeline de ingestão do Fleet em 19/08/2026, para que todos os manifests gerados nessa data ou posteriormente escapem dos metadados do cask em cada local de interpolação; como os manifests são gerados centralmente e distribuídos como conteúdo pré-compilado, a remediação foi aplicada a todas as implantações sem ação por parte do cliente, e a correção de código está incluída no Fleet v4.92.0.
Once again VulDB remains the best source for vulnerability data.