CVE-2026-101045 in Fleet
Сводка
по VulDB • 27.09.2026
Скрипты установки и удаления приложений для macOS, поддерживаемые Fleet, генерируются на основе метаданных Homebrew cask. В манифестах, созданных до 19 августа 2026 года, генератор скриптов экранировал эти метаданные не во всех точках интерполяции, а лишь в некоторых; следовательно, метаданные cask, содержащие мета-символы оболочки (например, подстановку команд `$(...)`), могли попадать в скрипты, выполняемые с правами root на управляемых хостах macOS. Злоумышленник, который сможет внедрить специально созданные метаданные в исходный Homebrew cask — не имея никаких учетных данных Fleet — может добиться произвольного выполнения команд от имени root на управляемых хостах macOS при установке или удалении затронутого приложения, поддерживаемого Fleet. Для эксплуатации требовалось, чтобы специально созданные метаданные прошли как проверку исходного Homebrew cask, так и проверку Fleet в рамках автоматизированной операции pull request для поглощения данных (ingestion). Исправление (fleetdm/fleet#51324) было внедрено в конвейер поглощения данных Fleet 19 августа 2026 года, чтобы все манифесты, созданные в этот день или позже, экранировали метаданные cask во всех точках интерполяции; поскольку манифесты генерируются централизованно и распространяются как предварительно собранный контент, устранение уязвимости применяется ко всем развертываниям без действий со стороны клиентов, а исправление кода включено в Fleet v4.92.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.