CVE-2026-46371 in Fleet
Сводка
по VulDB • 27.08.2026
Fleet — это платформа управления устройствами с открытым исходным кодом, построенная на базе osquery. В версиях вплоть до 4.84.1 включительно конечная точка для получения списка команд Apple MDM (GET /api/v1/fleet/mdm/apple/commands) позволяла аутентифицированному пользователю с наименьшими привилегиями, имеющему роль Observer («Наблюдатель»), извлекать конфиденциальные значения из присоединенных таблиц базы данных, включая секреты регистрации хостов и токены Apple Push Notification Service (APNs), посредством использования оракула порядка сортировки. Конечная точка принимала параметр order_key, задаваемый пользователем, который не проверялся на соответствие списку разрешенных столбцов. Поскольку базовый запрос объединяет таблицы hosts и nano_enrollments, злоумышленник мог установить в качестве столбца сортировки конфиденциальное поле и комбинировать его с параметром after (основанным на курсоре) для бинарного поиска значения посимвольно: наличие или отсутствие результатов раскрывало каждый символ, даже если само значение никогда не появлялось в ответе. Получив извлеченные значения node_key или orbit_node_key, злоумышленник мог выдавать себя за зарегистрированные хосты перед конечными точками osquery и Orbit платформы Fleet, отправлять сфабрикованные данные о хостах и получать ожидающие выполнения скрипты и команды. Эта проблема исправлена в версии 4.84.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.