PT-2026-49056
CVE-2026-46370
·
تاريخ النشر
2026-06-12
·
تاريخ التحديث
2026-08-29
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Fleet الأقدم من 4.85.0
الوصف
يمكن للمستخدمين المصادق عليهم الذين يتمتعون بدور ”المراقب“ (Observer) ذي الامتيازات الأدنى استخراج أسرار تسجيل المضيف، وتحديدًا
node key وorbit node key، باستخدام أداة بحث ثنائي قائمة على المؤشر. توجد هذه المشكلة في نقطة النهاية GET /api/v1/fleet/labels/{id}/hosts، التي تستخدم أداة مساعدة مهملة تفشل في تقييد الأعمدة في جملة ORDER BY. من خلال توفير اسم عمود حساس كمعلمة order key واستخدام المعلمة after، يمكن للمهاجم تحديد قيم هذه الأسرار حرفًا حرفًا بناءً على وجود النتائج أو عدم وجودها. تُستخدم هذه الأسرار من قِبل وكلاء osquery وOrbit للمصادقة على الخادم، ويسمح الكشف عنها للمهاجم بانتحال هوية المضيفات، وإرسال بيانات مزيفة، واسترداد البرامج النصية المعلقة أو أوامر إدارة الأجهزة المتنقلة (MDM)، وتزوير نتائج الامتثال.التوصيات
التحديث إلى الإصدار 4.85.0.
تقييد دور «Observer» على المستخدمين الموثوق بهم تمامًا.
تغيير «node key» و«orbit node key» عن طريق إعادة تسجيل أي مضيفات يشتبه في تعرضها للكشف.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾