CVE-2026-25963

Fleet açıq mənbəli cihaz idarəetmə proqram təminatıdır. 4.80.1 versiyasından əvvəlki versiyalarda, Fleet-in sertifikat şablonlarının silinməsi API-dəki səhv avtorizasiya yoxlaması komanda administratoruna eyni Fleet instansiyadakı digər komandalara məxsus sertifikat şablonlarını silməyə imkan verə bilərdi. Fleet fərdi komandalar üçün nəzərdə tutulmuş sertifikat şablonlarını dəstəkləyir. Təsirə məruz qalan versiyalarda toplu silmə son nöqtəsi (endpoint) avtorizasiyanı istifadəçi tərəfindən təqdim edilən komanda identifikatoru ilə yoxlayırdı, lakin silinən sertifikat şablonu ID-lərinin həqiqətən həmin komandaya aid olub-olmadığını təsdiqləmirdi. Nəticədə, komanda administratoru digər komandalarla əlaqəli sertifikat şablonlarını silə bildiyi üçün təsirə məruz qalan komandaların cihaz qeydiyyatı, Wi-Fi autentifikasiyası, VPN girişi və ya digər sertifikata əsaslanan konfiqurasiyaları kimi iş axınları pozula bilərdi. Bu problem imtiyazların yüksəldilməsinə, həssas məlumatlara girişə və ya Fleet-in idarəetmə panelinin (control plane) kompromisə düşməsinə imkan vermir. Təsir yalnız komandalar arası sertifikat şablonlarının bütövlüyü və əlçatanlığı ilə məhdudlaşır. 4.80.1 versiyası bu problemi aradan qaldırır. Təcili yeniləmə mümkün deyilsə, administratorlar sertifikat şablonlarının idarə edilməsinə girişi etibarlı istifadəçilərlə məhdudlaşdırmalı və ciddi şəkildə tələb olunmadıqda komanda administratoru icazələrini nümayəndə etməkdən çəkinməlidirlər.