CVE-2026-23518
KrytyczneStreszczenie
Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach wcześniejszych niż 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala atakującemu na przesyłanie fałszywych tokenów uwierzytelniających, które nie są odpowiednio weryfikowane.
Ocena ryzyka
Brak weryfikacji podpisów JWT umożliwia akceptację tożsamości kontrolowanych przez atakującego, co może prowadzić do rejestracji nieautoryzowanych urządzeń pod dowolnymi tożsamościami użytkowników Azure AD. To stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 4.78.3, 4.77.1, 4.76.2, 4.75.2 lub 4.53.3. Jeśli aktualizacja nie jest możliwa, użytkownicy Fleet powinni tymczasowo wyłączyć Windows MDM.
Oryginalny opis (angielski, źródło NVD)
Fleet is open source device management software. In versions prior to 4.78.3, 4.77.1, 4.76.2, 4.75.2, and 4.53.3, a vulnerability in Fleet's Windows MDM enrollment flow could allow an attacker to submit forged authentication tokens that are not properly validated. Because JWT signatures were not verified, Fleet could accept attacker-controlled identity claims, enabling enrollment of unauthorized devices under arbitrary Azure AD user identities. Versions 4.78.3, 4.77.1, 4.76.2, 4.75.2, and 4.53.3 fix the issue. If an immediate upgrade is not possible, affected Fleet users should temporarily disable Windows MDM.