Fuzzztf

**Nome do Software Vulnerável e Versões Afetadas** Fleet versões anteriores a 4.80.1 **Description** Um problema na lógica de extração de IP permite que atacantes não autenticados ignorem a limitação de taxa (rate limiting) da API através da falsificação de cabeçalhos de IP do cliente. O software extrai endereços IP de clientes de cabeçalhos de requisição (`True-Client-IP`, `X-Real-IP`, `X-Forwarded-For`) sem validar se eles originam de um proxy confiável. Como o IP extraído é usado como chave para decisões de limitação de taxa e banimento de IP, um atacante pode rotacionar os valores desses cabeçalhos para fazer com que cada requisição pareça vir de um cliente diferente. Isso possibilita ataques de força bruta ou preenchimento de credenciais (credential stuffing) irrestritos contra endpoints sensíveis, como a API de login. Isso afeta principalmente instâncias expostas à internet pública sem um proxy reverso que sobrescreva os cabeçalhos de IP encaminhados. **Recommendations** Atualizar para a versão 4.80.1. Implantar o software atrás de um proxy reverso que sobrescreva o `X-Forwarded-For` com o IP real do cliente e aplicar a limitação de taxa na camada do proxy ou WAF.

**Nome do Software Vulnerável e Versões Afetadas** Fleet versões anteriores a 4.80.1 **Descrição** O Fleet confiava em cabeçalhos de endereço IP fornecidos pelo cliente ao determinar o IP de origem para solicitações recebidas. Isso permitia que clientes autenticados e não autenticados falsificassem seu endereço IP aparente e ignorassem os controles de limitação de taxa (rate limiting) por IP. O software determina o endereço IP público de um cliente usando cabeçalhos HTTP como "X-Forwarded-For", "X-Real-IP" e "True-Client-IP", que eram confiados sem validação. Um invasor poderia fornecer valores arbitrários nesses cabeçalhos, fazendo com que o sistema tratasse cada solicitação como originada de um endereço IP diferente, aumentando assim a eficácia de tentativas de força bruta ou password-spraying contra endpoints de autenticação. **Recomendações** Atualize para a versão 4.80.1. Execute o Fleet atrás de um proxy reverso ou balanceador de carga confiável que sobrescreva os cabeçalhos de IP do cliente.

**Nome do Software Vulnerável e Versões Afetadas** Fleet versões anteriores a 4.81.0 **Descrição** Um problema de negação de serviço (DoS) existe no endpoint gRPC Launcher "PublishLogs". Certos valores de entrada inesperados não são tratados adequadamente, o que pode fazer com que o processo do servidor seja encerrado ao processar uma solicitação autenticada de um host Launcher registrado. Um invasor autenticado com acesso a qualquer chave de nó Launcher registrado pode causar uma negação de serviço completa enviando uma única solicitação gRPC para o endpoint "PublishLogs". Este problema afeta apenas a disponibilidade, sem exposição de dados sensíveis, bypass de autenticação, escalonamento de privilégios ou impacto na integridade. **Recomendações** Atualize para a versão 4.81.0. Restrinja o acesso de rede ao endpoint gRPC do Fleet, limitando o acesso de entrada a intervalos de IP de hosts conhecidos. Implante o Fleet atrás de uma infraestrutura que encerre ou filtre o tráfego gRPC se a ingestão de logs do Launcher não for necessária. Monitore ocorrências de falhas repetidas do processo ou reinicializações inesperadas.

**Name of the Vulnerable Software and Affected Versions** Fleet versions prior to 4.81.0 **Description** Fleet, an open-source device management software, contains a flaw in its gRPC Launcher endpoint. An authenticated host can exploit this to cause a denial-of-service condition, leading to the termination of the entire Fleet server process. This disruption impacts all connected hosts, Mobile Device Management (MDM) enrollments, and API consumers by sending an unexpected log type value to the `gRPC Launcher` endpoint. **Recommendations** Update to version 4.81.0 or later.

**Name of the Vulnerable Software and Affected Versions** Fleet versions prior to 4.81.1 **Description** Fleet, an open source device management software, contains an issue in its Windows MDM command processing. A malicious enrolled device can access MDM commands intended for other devices. This could expose sensitive configuration data, including WiFi credentials, VPN secrets, and certificate payloads, across the entire Windows fleet. **Recommendations** Update to version 4.81.1 or later.

**Name of the Vulnerable Software and Affected Versions** Fleet versions prior to 4.81.0 **Description** Fleet, an open source device management software, had a flaw in how user invitations were handled. Specifically, the email address entered when accepting an invitation wasn’t checked against the email address linked to the original invitation. This allowed an attacker with a valid invite token to create an account using any email address and gain the role assigned to the invitation, potentially including global administrator privileges. **Recommendations** Update to version 4.81.0 or later.

**Name of the Vulnerable Software and Affected Versions** Fleet versions prior to 4.81.0 **Description** Fleet’s password management logic had a flaw that allowed previously issued password reset tokens to remain valid even after a user changed their password. This meant a stale token could be reused to reset the account password after a defensive password change. Exploitation requires prior compromise of a password reset token and is limited by the token’s 24-hour expiration period. The issue does not allow discovery of reset tokens, does not bypass authentication on its own, and does not affect accounts without an existing valid reset token. **Recommendations** Versions prior to 4.81.0 should be updated to version 4.81.0 or later. As a temporary workaround, users who believe a password reset token may have been exposed should wait for the token to expire before reusing the account, or contact a Fleet administrator to invalidate active sessions.

**Name of the Vulnerable Software and Affected Versions** Fleet versions prior to 4.81.0 **Description** Fleet, an open source device management software, has multiple unauthenticated HTTP endpoints that do not enforce a size limit when reading request bodies. An unauthenticated attacker can exploit this by sending large or repeated HTTP payloads, leading to excessive memory allocation and a denial-of-service (DoS) condition. The issue impacts availability only, with no exposure of sensitive data, authentication bypass, privilege escalation, or integrity impact. **Recommendations** Versions prior to 4.81.0 should be upgraded to version 4.81.0 or later. As a temporary workaround, apply request body size limits at a reverse proxy or load balancer (e.g., NGINX, Envoy). Restrict network access to the endpoints to known IP ranges where feasible. Monitor memory usage and restart frequency for abnormal patterns.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Fleet anteriores à 4.80.1 **Descrição** O Fleet é um software de gerenciamento de dispositivos de código aberto. Existe uma vulnerabilidade de injeção de SQL devido ao uso inseguro de `goqu.I()` ao construir a cláusula `ORDER BY`. Isso permite que usuários autenticados injetem expressões SQL arbitrárias através do parâmetro de consulta `order key`. Um atacante autenticado com acesso ao endpoint afetado poderia injetar expressões SQL na consulta MySQL subjacente. Embora a injeção ocorra em um contexto de `ORDER BY`, ela é suficiente para habilitar técnicas de injeção de SQL às cegas que podem revelar informações do banco de dados através de expressões condicionais que afetam a ordenação dos resultados. Expressões manipuladas também podem causar processamento excessivo ou falhas na consulta, potencialmente levando à degradação do desempenho ou negação de serviço. O parâmetro vulnerável é `order key`. **Recomendações** Atualize para a versão 4.80.1 ou posterior do Fleet. Se uma atualização imediata não for possível, restrinja o acesso ao endpoint afetado apenas a funções confiáveis. Garanta que quaisquer parâmetros de ordenação ou de coluna fornecidos pelo usuário sejam estritamente validados por uma lista de permissões na camada de aplicação ou de proxy.