CVE-2026-23518
CriticalSummary
Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach wcześniejszych niż 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala atakującemu na przesyłanie fałszywych tokenów uwierzytelniających, które nie są odpowiednio weryfikowane.
Risk Assessment
Brak weryfikacji podpisów JWT umożliwia akceptację tożsamości kontrolowanych przez atakującego, co może prowadzić do rejestracji nieautoryzowanych urządzeń pod dowolnymi tożsamościami użytkowników Azure AD. To stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Recommendation
Zaleca się natychmiastową aktualizację do wersji 4.78.3, 4.77.1, 4.76.2, 4.75.2 lub 4.53.3. Jeśli aktualizacja nie jest możliwa, użytkownicy Fleet powinni tymczasowo wyłączyć Windows MDM.
Original NVD description (English source)
Fleet is open source device management software. In versions prior to 4.78.3, 4.77.1, 4.76.2, 4.75.2, and 4.53.3, a vulnerability in Fleet's Windows MDM enrollment flow could allow an attacker to submit forged authentication tokens that are not properly validated. Because JWT signatures were not verified, Fleet could accept attacker-controlled identity claims, enabling enrollment of unauthorized devices under arbitrary Azure AD user identities. Versions 4.78.3, 4.77.1, 4.76.2, 4.75.2, and 4.53.3 fix the issue. If an immediate upgrade is not possible, affected Fleet users should temporarily disable Windows MDM.