CVE-2026-24000

Fleet açıq mənbəli cihaz idarəetmə proqram təminatıdır. Versiya 4.80.1-dən əvvəl Fleet daxil olan sorğular üçün mənbə IP ünvanını müəyyən edərkən klient tərəfindən təqdim edilən IP ünvanı başlıqlarına etibar edirdi. Bu, autentifikasiya olunmuş və olunmamış klientlərə öz görünən IP ünvanlarını saxtalaşdırmağa və hər IP üzrə tətbiq olunan sürət məhdudiyyəti (rate limiting) nəzarətlərini yan keçməyə imkan verirdi. Fleet klientin ictimai IP ünvanını X-Forwarded-For, X-Real-IP və/və ya True-Client-IP kimi HTTP başlıqları vasitəsilə müəyyən edir. Bu başlıqlara heç bir yoxlama aparılmadan etibar edilirdi. Hücumçu bu başlıqlarda ixtiyari dəyərlər təqdim edərək Fleet-in hər bir sorğunu fərqli IP ünvanından gəlmiş kimi qəbul etməsinə səbəb ola bilərdi. Bu, hücumçuya hər IP üçün təyin edilmiş sürət limitlərini yan keçməyə və autentifikasiya son nöqtələrinə qarşı brute-force və ya password-spraying cəhdlərinin effektivliyini artırmağa imkan verə bilərdi. Bu problem təkbaşına autentifikasiyadan yan keçməyə, imtiyazların yüksəldilməsinə, məlumat sızmasına və ya uzaqdan kodun icrasına imkan vermir. Versiya 4.80.1 düzəliş paketini ehtiva edir. Müvəqqəti həll yolu kimi, Fleet-i klient IP başlıqlarını yenidən yazan etibarlı reverse proxy və ya load balancer arxasında işlədin.