CVE-2026-48786 in Fleet
Tóm tắt
Bởi VulDB • 26/08/2026
Fleet là một nền tảng quản lý thiết bị mã nguồn mở được xây dựng dựa trên osquery. Trong các phiên bản trước 4.87.0, điểm cuối tìm kiếm mục tiêu (POST /api/latest/fleet/targets) đã trả về bí mật đăng ký nhóm và cấu hình đầy đủ của nhóm không được che giấu cho người dùng thuộc lớp quan sát có đặc quyền thấp. Các điểm cuối khác liên quan đến nhóm đều ẩn các trường này đối với người quan sát, nhưng điểm cuối tìm kiếm mục tiêu không áp dụng cùng quá trình làm sạch dữ liệu, do đó một người dùng đã xác thực mang vai trò Quan sát viên (Observer), Quan sát viên+ (Observer+) hoặc Kỹ thuật viên (Technician), dù là toàn cục hay theo nhóm, có thể truy xuất các bí mật và tùy chọn tác nhân bằng cách thực hiện tìm kiếm mục tiêu đối với một truy vấn do quan sát viên chạy được. Với bí mật đăng ký nhóm bị lộ, kẻ tấn công có thể đăng ký các máy chủ không được ủy quyền vào nhóm bị ảnh hưởng; nếu các tùy chọn tác nhân của nhóm chứa thông tin xác thực như khóa truy cập bí mật AWS hoặc mật khẩu proxy, thì những giá trị này cũng sẽ bị tiết lộ. Vấn đề này đã được sửa chữa trong phiên bản 4.87.0.
Once again VulDB remains the best source for vulnerability data.