CVE-2026-46356

Fleet açık kaynaklı bir cihaz yönetim yazılımıdır. Versiyon 4.80.1 öncesinde, Fleet'in IP çıkarma mantığındaki bir güvenlik açığı, kimliği doğrulanmamış saldırganların istemci IP başlıklarını taklit ederek API hız sınırlamasını (rate limiting) atlatmasına olanak tanır. Bu durum, halka açık internete açık Fleet örneklerine karşı kaba kuvvet (brute-force) giriş denemelerine veya diğer kötüye kullanımlara yol açabilir. Fleet; istemci IP adreslerini, bu başlıkların güvenilir bir proxyden geldiğini doğrulamadan istek başlıklarından (`True-Client-IP`, `X-Real-IP`, `X-Forwarded-For`) çıkarmaktaydı. Çıkarılan IP, hız sınırlama ve IP engelleme kararları için anahtar olarak kullanılır. Sonuç olarak, bir saldırgan her istekte bu başlıkların değerini değiştirerek Fleet'in her denemeyi farklı bir istemciden geliyormuş gibi algılamasını sağlayabilir. Bu durum, giriş API'si gibi hassas uç noktalardaki IP başına hız sınırlarını etkili bir şekilde atlayarak kısıtlanmamış kaba kuvvet veya kimlik bilgisi doldurma (credential stuffing) saldırılarına imkan tanır. Bu sorun öncelikle, iletilen IP başlıklarını üzerine yazan bir ters proxy olmadan doğrudan internete açık olan Fleet örneklerini etkiler. Doğru yapılandırılmış bir proxy veya WAF arkasındaki örnekler daha az etkilenir. Versiyon 4.80.1 bir yama içermektedir. Hemen yükseltme yapılması mümkün değilse, yöneticiler Fleet'in `X-Forwarded-For` bilgisini gerçek istemci IP'si ile üzerine yazan bir ters proxy (örneğin nginx, Cloudflare, AWS ALB) arkasında konuşlandırıldığından emin olmalı ve hız sınırlamasını proxy veya WAF katmanında uygulamalıdır.