CVE-2026-23999

Fleet, açık kaynaklı bir cihaz yönetim yazılımıdır. 4.80.1 öncesindeki sürümlerde Fleet, yalnızca mevcut Unix zaman damgasına dayalı öngörülebilir bir algoritma kullanarak cihaz kilitleme ve sıfırlama PIN'leri oluşturmaktaydı. Herhangi bir gizli anahtar veya ek entropi kullanılmadığı için, cihazın kilitlendiği yaklaşık zaman biliniyorsa ortaya çıkan PIN potansiyel olarak türetilebilirdi. Fleet'in cihaz kilitleme ve sıfırlama komutları, bir cihazın kilidini açmak için yöneticilere görüntülenen 6 haneli bir PIN oluşturur. Etkilenen sürümlerde bu PIN, mevcut zaman damgasından deterministik olarak türetiliyordu. Kilitli bir cihaza fiziksel erişimi olan ve kilitleme komutunun verildiği yaklaşık zamanı bilen bir saldırgan, teorik olarak sınırlı bir arama penceresinde doğru PIN'i tahmin edebilirdi. Ancak başarılı istismar birden fazla faktörle kısıtlanmıştır: Cihaza fiziksel erişim gereklidir, yaklaşık kilitleme zamanının bilinmesi gerekir, işletim sistemi PIN giriş denemeleri üzerinde hız sınırlaması uygular, denemelerin zamana yayılması gerekir ve cihaz sıfırlama işlemleri genellikle yeterli deneme yapılmadan önce tamamlanır. Sonuç olarak bu sorun; uzaktan istismara, tüm filonun ele geçirilmesine veya Fleet kimlik doğrulama kontrollerinin atlatılmasına izin vermez. Sürüm 4.80.1 bir yama içermektedir. Bilinen herhangi bir geçici çözüm bulunmamaktadır.