Vulnerabilidad en Fleet (CVE-2026-27465)
Gravedad CVSS v4.0:
BAJA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
26/02/2026
Última modificación:
02/03/2026
Descripción
Fleet es software de gestión de dispositivos de código abierto. En versiones anteriores a la 4.80.1, una vulnerabilidad en la API de configuración de Fleet podría exponer las credenciales de la cuenta de servicio de Google Calendar a usuarios autenticados con roles de bajo privilegio. Esto podría permitir el acceso no autorizado a los recursos de Google Calendar asociados con la cuenta de servicio. Fleet devuelve datos de configuración a través de un endpoint de API que es accesible para usuarios autenticados, incluidos aquellos con el rol de menor privilegio 'Observer'. En las versiones afectadas, las credenciales de la cuenta de servicio de Google Calendar no se ofuscaron correctamente antes de ser devueltas. Como resultado, un usuario de bajo privilegio podría recuperar el material de la clave privada de la cuenta de servicio. Dependiendo de cómo esté configurada la integración de Google Calendar, esto podría permitir el acceso no autorizado a datos del calendario u otros recursos de Google Workspace asociados con la cuenta de servicio. Este problema no permite la escalada de privilegios dentro de Fleet ni el acceso a la funcionalidad de gestión de dispositivos. La versión 4.80.1 corrige el problema. Si una actualización inmediata no es posible, los administradores deben eliminar la integración de Google Calendar de Fleet y rotar las credenciales de la cuenta de servicio de Google afectadas.
Impacto
Puntuación base 4.0
1.30
Gravedad 4.0
BAJA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:fleetdm:fleet:*:*:*:*:*:*:*:* | 4.80.1 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página