Fleet: Denial of Service durch unbegrenzte gzip-Dekomprimierung
Zusammenfassung
Fleet-Versionen vor 4.83.0 begrenzen die Grösse von gzip-dekomprimierten Request-Bodies nicht. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann kleine, stark komprimierte Requests mit Content-Encoding: gzip an nicht authentifizierte Endpunkte senden, den Arbeitsspeicher des Servers erschöpfen und die gesamte Fleet-Instanz zum Absturz bringen. Die Schwachstelle betrifft nur die Verfügbarkeit; eine Offenlegung von Daten, eine Umgehung der Authentifizierung oder eine Beeinträchtigung der Integrität ist nicht dokumentiert.
Betroffen
- Fleet (Go-Paket github.com/fleetdm/fleet) vor 4.83.0
- Widersprüchliche Angaben: Eine Drittquelle nennt den Bereich "= v4.83.0" und eine andere Advisory-ID; auf GitHub prüfen.
Behoben in
- Fleet 4.83.0 und neuer (wendet die Grössenbegrenzung auch auf den dekomprimierten Body an)
Umgehung
- Das Upgrade auf 4.83.0 ist die einzige vom Hersteller dokumentierte Behebung.
- Falls ein Upgrade nicht sofort möglich ist, Requests mit Content-Encoding: gzip am Reverse Proxy oder Load Balancer ablehnen, sofern die Fleet-Agents nicht so konfiguriert sind, dass sie Requests komprimieren.
- Ratenbegrenzung und Grössenbeschränkungen für Requests auf Proxy-Ebene können die Auswirkungen verringern (allgemeine Empfehlung, nicht von Fleet bestätigt).
Ausnutzung
- Bekannte Ausnutzung: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- Automatisierbar: ja (CISA SSVC); Ausnutzung: keine (CISA SSVC).
Unsere Empfehlung
- Alle Fleet-Deployments und deren Versionen identifizieren.
- Aus dem Internet erreichbare Instanzen priorisieren und diese zuerst auf 4.83.0 oder neuer aktualisieren.
- Falls ein Upgrade nicht sofort möglich ist, die Ablehnung von gzip-Requests oder die Grössenbegrenzung am Reverse Proxy einrichten.
- Wiederholte Abstürze oder Speichererschöpfung des Fleet-Servers überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-3982-g48v-9rwh github.com
- VulnCheck advisory www.vulncheck.com
- NVD / Vulners CVE record vulners.com
- VulDB CVE entry vuldb.com
- EUVD record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.