CVE-2026-41262

Nome do Software Vulnerável e Versões Afetadas Fleet DM (versões afetadas não especificadas)

Descrição Existe um problema no endpoint de leitura de política global GET /api/latest/fleet/policies/{policy id} onde a autorização é realizada contra uma estrutura vazia com um TeamID nulo. Isso permite que o sistema busque qualquer política por ID no banco de dados sem verificar se a política pertence ao escopo global. Consequentemente, um usuário autenticado com acesso de nível de observador em qualquer equipe individual pode ignorar o isolamento de equipes para ler detalhes completos de políticas pertencentes a qualquer outra equipe. Isso inclui acesso a consultas SQL, contagens de aprovação/reprovação de hosts e metadados de instaladores de software ou scripts. A falha está localizada na função GetPolicyByIDQueries(), que não realiza a verificação de equipe após a busca.

Recomendações Implementar uma verificação pós-busca na função GetPolicyByIDQueries() para verificar se a política retornada é uma política global, garantindo que o TeamID seja nulo. Se o TeamID não for nulo, a solicitação deve ser negada. Como mitigação temporária, restrinja o acesso ao endpoint GET /api/latest/fleet/policies/{policy id} apenas a administradores altamente confiáveis.