CVE-2026-54245
Açıklama
Fleet, osquery üzerine kurulu açık kaynaklı bir cihaz yönetim platformudur. 4.86.2 öncesi sürümlerde, Fleet Premium'daki Okta koşullu erişim entegrasyonu, düzgün parametrelendirme yapılmadan bir veritabanı sorgusunda kullanılan ana makine tarafından sağlanan bir değer aracılığıyla SQL enjeksiyonuna karşı savunmasızdır; bu da kayıtlı tek bir ana makineyi kontrol eden bir saldırganın Fleet veritabanındaki rastgele verileri okumasına veya değiştirmesine olanak tanır. Değer, ana makinenin kendi aracısı tarafından bildirilir ve olduğu gibi saklanır, ardından koşullu erişim entegrasyonunu destekleyen kimlik doğrulaması gerektirmeyen bir istek yolunda kullanılır; böylece kayıtlı tek bir ana makineyi kontrol eden herhangi bir taraf, üründeki en düşük ayrıcalıklı konum, sorguyu etkileyebilir. Rastgele veritabanı içeriklerini ifşa ederek bir saldırgan, saklanan oturum belirteçlerini çıkarabilir ve genel yönetici olarak hareket etmek için bunları yeniden oynatabilir; yönetilen bir filoda bu yönetici erişimi, kayıtlı ana makinelerde betik çalıştırılmasını sağlayarak uzaktan kod çalıştırmaya yol açar. Sorun, Okta koşullu erişim entegrasyonunun etkinleştirildiği Fleet Premium gerektirir ve yapılandırılmadığı örnekleri etkilemez. Bu sorun 4.86.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/fleetdm/fleet4.86.2 ya da sonraki bir sürüm
- github.com/fleetdm/fleet/v44.86.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/fleetdm/fleetGo | v < 4.86.2 | 4.86.2 |
| github.com/fleetdm/fleet/v4Go | v < 4.86.2 | 4.86.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.