CVE-2026-54245
Təsvir
Fleet osquery üzərində qurulmuş açıq mənbəli cihaz idarəetmə platformasıdır. 4.86.2-dən əvvəlki versiyalarda Fleet Premium-da Okta şərti giriş inteqrasiyası, host tərəfindən təqdim edilən və düzgün parametrləşdirmə olmadan verilənlər bazası sorğusunda istifadə olunan dəyər vasitəsilə SQL inyeksiyasına həssasdır və bu, bir qeydiyyatdan keçmiş hosta nəzarət edən hücumçuya Fleet verilənlər bazasındakı ixtiyari məlumatları oxumağa və ya dəyişdirməyə imkan verir. Dəyər hostun öz agenti tərəfindən bildirilir və olduğu kimi saxlanılır, sonra şərti giriş inteqrasiyasını dəstəkləyən autentifikasiyasız sorğu yolunda istifadə olunur, buna görə də bir qeydiyyatdan keçmiş hosta nəzarət edən istənilən tərəf, məhsulda ən aşağı imtiyaz mövqeyində olan şəxs sorğuya təsir edə bilər. İxtiyari verilənlər bazası məzmununu açıqlamaqla hücumçu saxlanılan sessiya tokenlərini çıxara və qlobal administrator kimi fəaliyyət göstərmək üçün onları təkrar istifadə edə bilər, idarə olunan fleetdə isə bu administrator girişi qeydiyyatdan keçmiş hostlarda skriptlərin icrasına imkan verir və uzaqdan kodun icrasına gətirib çıxarır. Problem Okta şərti giriş inteqrasiyası aktivləşdirilmiş Fleet Premium tələb edir və konfiqurasiya edilmədiyi instansiyalara təsir etmir. Bu problem 4.86.2 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/fleetdm/fleet4.86.2 və ya daha yeni versiya
- github.com/fleetdm/fleet/v44.86.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/fleetdm/fleetGo | v < 4.86.2 | 4.86.2 |
| github.com/fleetdm/fleet/v4Go | v < 4.86.2 | 4.86.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.