PT-2026-40970 · Fleet · Fleet
Fuzzztf
·
Publicado
2026-05-14
·
Atualizado
2026-05-14
·
CVE-2026-26062
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Fleet versões anteriores a 4.81.0
Descrição
Um problema de negação de serviço (DoS) existe no endpoint gRPC Launcher "PublishLogs". Certos valores de entrada inesperados não são tratados adequadamente, o que pode fazer com que o processo do servidor seja encerrado ao processar uma solicitação autenticada de um host Launcher registrado. Um invasor autenticado com acesso a qualquer chave de nó Launcher registrado pode causar uma negação de serviço completa enviando uma única solicitação gRPC para o endpoint "PublishLogs". Este problema afeta apenas a disponibilidade, sem exposição de dados sensíveis, bypass de autenticação, escalonamento de privilégios ou impacto na integridade.
Recomendações
Atualize para a versão 4.81.0.
Restrinja o acesso de rede ao endpoint gRPC do Fleet, limitando o acesso de entrada a intervalos de IP de hosts conhecidos.
Implante o Fleet atrás de uma infraestrutura que encerre ou filtre o tráfego gRPC se a ingestão de logs do Launcher não for necessária.
Monitore ocorrências de falhas repetidas do processo ou reinicializações inesperadas.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fleet