Fuzzztf

Fleet before 4.86.2 contains a denial of service vulnerability that allows unauthenticated attackers to exhaust server memory through quadratic XML canonicalization of unsigned SAML responses. Attackers can send a single crafted SAML response with deeply nested elements declaring new namespace prefixes to POST /api/v1/fleet/sso/callback, crashing the Fleet server.

Um problema de recursão ilimitada existe na análise da lista de propriedades de registro do Apple MDM. Atacantes não autenticados podem travar o servidor enviando um payload de plist binário manipulado de aproximadamente 150 bytes para os endpoints de registro. Esta ação desencadeia a alocação exponencial ou recursão infinita, levando ao esgotamento dos recursos de CPU e memória.

Existe um problema onde invasores não autenticados podem causar a negação de serviço ao esgotar a memória do servidor. Isso é alcançado enviando corpos de requisição pequenos e altamente compactados usando o cabeçalho `Content-Encoding: gzip` para endpoints não autenticados. Durante o processo de decodificação, essas requisições expandem-se significativamente, levando ao travamento de toda a instância.

Uma injeção de SQL existe na integração de acesso condicional do Okta. Um invasor que controle um único host inscrito pode fornecer um valor via agente do host que é utilizado em uma consulta ao banco de dados sem a parametrização adequada. Isso permite que o invasor leia ou modifique dados arbitrários no banco de dados, incluindo tokens de sessão armazenados. Se os tokens de sessão forem expostos, eles podem ser repetidos para obter privilégios de administrador global, levando potencialmente à execução remota de código em todos os hosts inscritos através da execução de scripts.

O endpoint de pesquisa de alvos `POST /api/latest/fleet/targets` não sanitiza os dados para usuários com as funções de Observer, Observer+ ou Technician. Isso permite que esses usuários recuperem segredos de inscrição de equipe não mascarados e configurações completas da equipe, incluindo opções de agente que contêm credenciais, como chaves secretas de acesso AWS, senhas de proxy ou tokens de sessão. Enquanto outros endpoints voltados para a equipe mascaram esses campos, este endpoint específico não o faz, permitindo potencialmente a inscrição de hosts não autorizados em uma equipe ou o roubo de credenciais sensíveis.

O Fleet confiava em cabeçalhos de endereço IP fornecidos pelo cliente ao determinar o IP de origem para solicitações recebidas. Isso permitia que clientes autenticados e não autenticados falsificassem seu endereço IP aparente e ignorassem os controles de limitação de taxa (rate limiting) por IP. O software determina o endereço IP público de um cliente usando cabeçalhos HTTP como "X-Forwarded-For", "X-Real-IP" e "True-Client-IP", que eram confiados sem validação. Um invasor poderia fornecer valores arbitrários nesses cabeçalhos, fazendo com que o sistema tratasse cada solicitação como originada de um endereço IP diferente, aumentando assim a eficácia de tentativas de força bruta ou password-spraying contra endpoints de autenticação.

Um problema de negação de serviço (DoS) existe no endpoint gRPC Launcher "PublishLogs". Certos valores de entrada inesperados não são tratados adequadamente, o que pode fazer com que o processo do servidor seja encerrado ao processar uma solicitação autenticada de um host Launcher registrado. Um invasor autenticado com acesso a qualquer chave de nó Launcher registrado pode causar uma negação de serviço completa enviando uma única solicitação gRPC para o endpoint "PublishLogs". Este problema afeta apenas a disponibilidade, sem exposição de dados sensíveis, bypass de autenticação, escalonamento de privilégios ou impacto na integridade.

Um problema na lógica de extração de IP permite que atacantes não autenticados ignorem a limitação de taxa (rate limiting) da API através da falsificação de cabeçalhos de IP do cliente. O software extrai endereços IP de clientes de cabeçalhos de requisição (`True-Client-IP`, `X-Real-IP`, `X-Forwarded-For`) sem validar se eles originam de um proxy confiável. Como o IP extraído é usado como chave para decisões de limitação de taxa e banimento de IP, um atacante pode rotacionar os valores desses cabeçalhos para fazer com que cada requisição pareça vir de um cliente diferente. Isso possibilita ataques de força bruta ou preenchimento de credenciais (credential stuffing) irrestritos contra endpoints sensíveis, como a API de login. Isso afeta principalmente instâncias expostas à internet pública sem um proxy reverso que sobrescreva os cabeçalhos de IP encaminhados.

Fleet, an open source device management software, contains an issue in its Windows MDM command processing. A malicious enrolled device can access MDM commands intended for other devices. This could expose sensitive configuration data, including WiFi credentials, VPN secrets, and certificate payloads, across the entire Windows fleet.

Fleet’s password management logic had a flaw that allowed previously issued password reset tokens to remain valid even after a user changed their password. This meant a stale token could be reused to reset the account password after a defensive password change. Exploitation requires prior compromise of a password reset token and is limited by the token’s 24-hour expiration period. The issue does not allow discovery of reset tokens, does not bypass authentication on its own, and does not affect accounts without an existing valid reset token.

Fleet, an open source device management software, has multiple unauthenticated HTTP endpoints that do not enforce a size limit when reading request bodies. An unauthenticated attacker can exploit this by sending large or repeated HTTP payloads, leading to excessive memory allocation and a denial-of-service (DoS) condition. The issue impacts availability only, with no exposure of sensitive data, authentication bypass, privilege escalation, or integrity impact.

Fleet, an open-source device management software, contains a flaw in its gRPC Launcher endpoint. An authenticated host can exploit this to cause a denial-of-service condition, leading to the termination of the entire Fleet server process. This disruption impacts all connected hosts, Mobile Device Management (MDM) enrollments, and API consumers by sending an unexpected log type value to the `gRPC Launcher` endpoint.

Fleet, an open source device management software, had a flaw in how user invitations were handled. Specifically, the email address entered when accepting an invitation wasn’t checked against the email address linked to the original invitation. This allowed an attacker with a valid invite token to create an account using any email address and gain the role assigned to the invitation, potentially including global administrator privileges.

O Fleet é um software de gerenciamento de dispositivos de código aberto. Existe uma vulnerabilidade de injeção de SQL devido ao uso inseguro de `goqu.I()` ao construir a cláusula `ORDER BY`. Isso permite que usuários autenticados injetem expressões SQL arbitrárias através do parâmetro de consulta `order key`. Um atacante autenticado com acesso ao endpoint afetado poderia injetar expressões SQL na consulta MySQL subjacente. Embora a injeção ocorra em um contexto de `ORDER BY`, ela é suficiente para habilitar técnicas de injeção de SQL às cegas que podem revelar informações do banco de dados através de expressões condicionais que afetam a ordenação dos resultados. Expressões manipuladas também podem causar processamento excessivo ou falhas na consulta, potencialmente levando à degradação do desempenho ou negação de serviço. O parâmetro vulnerável é `order key`.