CVE-2026-24899

Fleet açıq mənbəli cihaz idarəetmə proqram təminatıdır. Versiya 4.82.0-dək olan versiyalarda, Fleet-in Windows MDM qeydiyyat axınındakı zəiflik istənilən Azure AD tenant-ından gələn autentifikasiya tokenlərinin qəbul edilməsinə şərait yaradır. Fleet, JWT imzalarını Microsoft-un çoxtenantli JWKS son nöqtəsi vasitəsilə yoxlasa da, `aud` (audience) və ya `iss` (issuer) iddialarını tətbiq etmir, buna görə də gözlənilən scope-ları ehtiva edən hər hansı Microsoft imzalı Azure AD giriş tokenindən Fleet-in MDM son nöqtələrinə autentifikasiya üçün istifadə edilə bilər. Əgər Windows MDM aktivdirsə, istənilən Azure AD tenant-ına çıxışı olan hücumçu etibarlı Microsoft imzalı token əldə edə və ondan icazəsiz cihazları qeydiyyata almaq və Fleet-in MDM idarəetmə API-ləri ilə qarşılıqlı əlaqədə olmaq üçün istifadə edə bilər. Cihazların idarə edilməsi zamanı Fleet, MDM əmr yüklərində yerləşmiş həssas qeydiyyat gizlinlərini üzə çıxara bilər ki, bu da daha geniş icazəsiz çıxışa imkan verir. Versiya 4.82.0-da düzəliş tətbiq edilmişdir. Təcili yeniləmə mümkün deyilsə, təsirlənən Fleet istifadəçiləri müvəqqəti olaraq Windows MDM funksiyasını deaktiv etməlidirlər.