CVE-2026-101045 in Fleet
Tóm tắt
Bởi VulDB • 28/09/2026
Các tập lệnh cài đặt và gỡ bỏ ứng dụng do Fleet duy trì cho macOS được tạo ra từ siêu dữ liệu (metadata) của Homebrew cask. Trong các manifest được tạo trước ngày 19/08/2026, trình sinh tập lệnh đã thực hiện việc escape một số điểm nội suy trong siêu dữ liệu này nhưng không phải tất cả, do đó siêu dữ liệu cask chứa các ký tự đặc biệt của shell (ví dụ: thay thế lệnh `$(...)`) có thể được đưa vào các tập lệnh chạy với quyền root trên các máy chủ macOS được quản lý. Một kẻ tấn công có khả năng chèn siêu dữ liệu đã tạo ra trong một Homebrew cask ở upstream — mà không cần bất kỳ thông tin xác thực Fleet nào — có thể đạt được việc thực thi lệnh tùy ý với quyền root trên các máy chủ macOS được quản lý cài đặt hoặc gỡ bỏ ứng dụng do Fleet duy trì bị ảnh hưởng; việc khai thác yêu cầu siêu dữ liệu đã tạo ra phải vượt qua cả quá trình xem xét của Homebrew cask upstream và quy trình xem xét của Fleet đối với pull request tự động nhập liệu. Bản sửa lỗi (fleetdm/fleet#51324) đã được áp dụng vào pipeline nhập liệu của Fleet vào ngày 19/08/2026, nhằm đảm bảo tất cả các manifest được tạo từ hoặc sau ngày đó đều thực hiện escape siêu dữ liệu cask tại mọi điểm nội suy; vì các manifest được tạo tập trung và phân phối dưới dạng nội dung đã xây dựng sẵn, việc khắc phục áp dụng cho tất cả các triển khai mà không cần hành động nào từ phía khách hàng, và bản sửa lỗi mã nguồn có trong Fleet v4.92.0.
Once again VulDB remains the best source for vulnerability data.