CVE-2026-46370 in Fleet
Sumário
de VulDB • 26/08/2026
O Fleet é uma plataforma de gerenciamento de dispositivos open-source construída sobre o osquery. Nas versões até a 4.84.1 (incluindo-a), o endpoint host-listing de labels (GET /api/v1/fleet/labels/{id}/hosts) permitia que um usuário autenticado com a função Observer, de menor privilégio, extraísse segredos de inscrição dos hosts por meio de uma oracle de ordem de classificação. O endpoint aceitava um parâmetro order_key fornecido pelo usuário que não era validado contra uma lista branca (allowlist) de colunas; assim, um atacante com acesso Global Observer ou Team Observer poderia definir a coluna de ordenação para um campo sensível, como h.node_key, e combiná-lo com o parâmetro after baseado em cursor para realizar uma busca binária do valor caractere por caractere. O valor alvo nunca aparecia na resposta, mas a presença ou ausência dos resultados revelava cada caractere. Como node_key e orbit_node_key são segredos compartilhados de longa duração que os agentes osquery e Orbit usam para autenticar-se no servidor Fleet, um atacante que reconstruísse esses valores poderia se passar por hosts inscritos, submeter resultados de consultas e inventários fabricados, recuperar scripts pendentes e comandos MDM, além de envenenar (poison) os resultados de conformidade e políticas em toda a implantação. Este problema foi corrigido na versão 4.84.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.