CVE-2026-46370 in Fleet
Сводка
по VulDB • 26.08.2026
Fleet — это платформа управления устройствами с открытым исходным кодом, построенная на базе osquery. В версиях вплоть до 4.84.1 включительно конечная точка для перечисления хостов по меткам (GET /api/v1/fleet/labels/{id}/hosts) позволяла аутентифицированному пользователю с наименьшими привилегиями, имеющему роль Observer, извлекать секреты регистрации хостов посредством оракула порядка сортировки. Конечная точка принимала параметр order_key, задаваемый пользователем, который не проверялся на соответствие списку разрешенных столбцов; поэтому атакующий с доступом Global Observer или Team Observer мог установить столбец сортировки в чувствительное поле, такое как h.node_key, и комбинировать его с параметром after для курсорной навигации, чтобы бинарным поиском определять значение посимвольно; целевое значение никогда не появлялось в ответе, однако наличие или отсутствие результатов раскрывало каждый символ. Поскольку node_key и orbit_node_key являются долгоживущими общими секретами, которые агенты osquery и Orbit используют для аутентификации на сервере Fleet, атакующий, восстановивший их значения, мог выдать себя за зарегистрированные хосты, отправлять сфабрикованные результаты запросов и данные инвентаризации, получать ожидающие скрипты и команды MDM, а также подделывать результаты соответствия требованиям (compliance) и политики во всем развертывании. Эта проблема исправлена в версии 4.84.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.