🇰🇷 한글 설명
Fleet은 오픈소스 기기 관리 소프트웨어이다. 4.81.0 이전 버전에서 Fleet의 MDM 부트스트랩 패키지 구성에 SQL 인젝션 취약점이 존재하며, Team Admin 또는 Global Admin 권한을 가진 인증된 사용자가 임의의 팀 구성을 변경하고 Fleet 데이터베이스의 민감한 데이터를 유출하며, 직접 API 호출을 통해 팀 구성에 임의의 콘텐츠를 주입할 수 있다. 버전 4.81.0에서 이 문제가 패치되었다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 기기 관리 시스템의 데이터베이스를 조작해 민감한 정보를 빼내거나 설정을 바꿀 수 있는 문제입니다. 최신 버전 4.81.0 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Fleet is open source device management software. Prior to 4.81.0, a SQL injection vulnerability in Fleet's MDM bootstrap package configuration allows an authenticated user with Team Admin or Global Admin privileges to modify arbitrary team configurations, exfiltrate sensitive data from the Fleet database, and inject arbitrary content into team configs via direct API calls. Version 4.81.0 patches the issue.
📍 영향받는 시스템
Fleet 4.81.0 미만 버전 (MDM 부트스트랩 패키지 기능 사용 환경)
⚔️ 공격 벡터
Team Admin 또는 Global Admin 권한을 가진 인증 사용자가 MDM 부트스트랩 구성 관련 API에 조작된 SQL 구문을 전송
🛡️ 대응 방법
Fleet을 4.81.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 4.81.0 미만이면 취약, 4.81.0 이상이면 패치 적용됨
fleetctl version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'