🇰🇷 한글 설명
Fleet의 4.85.0 미만 버전에서 발생하는 취약점으로, 특정 팀의 관찰자 권한을 가진 사용자가 다른 팀의 정책 정보를 읽을 수 있는 권한 검증 미흡 문제입니다. 공격자는 정책 ID를 순차적으로 대입하여 다른 팀의 SQL 쿼리, 호스트 상태, 소프트웨어 설치 메타데이터 등 민감한 보안 모니터링 전략을 탈취할 수 있습니다.
💡 쉬운 설명
회사 내의 한 팀 권한만 가진 사람이 다른 팀이 어떤 보안 규칙을 사용하고 있는지 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 회사의 보안 설정이나 관리 방식이 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Fleet is an open-source device management platform built on osquery. In versions prior to 4.85.0, the global policy read endpoint (GET /api/latest/fleet/policies/{policy_id}) fails to verify team ownership of the requested policy, allowing an authenticated user with observer-level access on any single team to read the full details of policies belonging to any other team and bypass Fleet's team isolation model. The handler authorizes the request against an empty policy object whose TeamID is nil, which an authorization rule permits for any user holding a role on any team, and then fetches the policy by ID with no team filter and returns it without any post-fetch scope check. Because policy IDs are sequential integers, an attacker can enumerate them to read other teams' policy SQL queries, host pass and fail counts, and associated software-installer and script metadata, exposing security-monitoring strategies and compliance posture across team boundaries. This issue is fixed in version 4.85.0.
📍 영향받는 시스템
Fleet versions prior to 4.85.0
⚔️ 공격 벡터
인증된 사용자가 정책 ID를 순차적으로 변경하며 API 엔드포인트(GET /api/latest/fleet/policies/{policy_id})에 요청을 보내는 ID 열거 공격
🛡️ 대응 방법
Fleet 버전을 4.85.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.85.0 미만이면 취약한 상태이며, 4.85.0 이상이면 안전합니다.
curl -s http://<fleet-api-endpoint>/api/version | grep -E '4\.[0-9]{2}\.[0-9]{2}'