CVE-2026-114611

OCO-Server; bilgisayar envanteri, yazılım dağıtımı ve mobil cihaz yönetimi için kullanılan self-hosted bir uç nokta yönetim uygulamasıdır. 1.2.3 sürümünden önce, Apple MDM kayıt uç noktası olan `frontend/api-mdm.php`, imzalı kayıt isteği plist dosyasını `openssl_pkcs7_verify(..., PKCS7_NOVERIFY, ...)` ile doğrulamaktadır. `PKCS7_NOVERIFY`, imzalayıcı sertifika zincirini ve güven doğrulamasını devre dışı bıraktığından, imzanın yalnızca PKCS#7 bloğuna gömülü olan herhangi bir sertifikayla kendi içinde tutarlı olması yeterlidir. Bu durum, ilgisiz bir saldırgan tarafından oluşturulan self-signed bir sertifikanın kabul edilmesine neden olur. Uç nokta, doğrulanmamış yükten alınan `SERIAL` alanına güvendiği için, kayıtlı bir cihazın seri numarasını bilen herhangi biri, rastgele bir self-signed sertifika ile sahte bir plist (`SERIAL` = mağdur cihaz, saldırgan tarafından seçilen `UDID`) imzalayabilir; bunu kimlik doğrulaması yapmadan `/api-mdm.php/profile` adresine (Content-Type: `application/pkcs7-signature`) POST edebilir ve mağdur cihazın yeni oluşturulmuş MDM kimliğini alabilir: sunucunun dahili MDM cihaz CA'sı tarafından düzenlenen `CN=<serial>` içeren bir sertifika, döndürülen `.mobileconfig` kayıt profili içindeki bir PKCS#12 yükünde özel anahtarıyla birlikte sunulur. Ek olarak, mağdurun `mobile_device` veritabanı satırı, saldırgan tarafından sağlanan `UDID` ile sessizce üzerine yazılarak değiştirilir (cihaz kaydı ele geçirme). Çalınan sertifika ve anahtar ile saldırgan, aynı dosyadaki `checkSignature()` aracılığıyla çağrıları sertifika CN (seri numarası) üzerinden doğrulayan tüm sonraki MDM trafiğinde (`/checkin`, `/mdm`, `/parameters`) mağdur cihazı taklit edebilir. Bu durum, mağdur cihazın MDM ilişkisi üzerinde kontrol sağlar: yönetim verilerinin okunması, push token'ının değiştirilmesi ve kaydın bozulması veya yönlendirilmesi mümkündür. Versiyon 1.2.3 bu sorunu düzeltmektedir.