CVE-2026-24899

Fleet, açık kaynaklı bir cihaz yönetim yazılımıdır. Versiyon 4.82.0 öncesinde, Fleet'in Windows MDM kayıt akışındaki bir güvenlik açığı, herhangi bir Azure AD kiracısından gelen kimlik doğrulama belirteçlerinin kabul edilmesine izin vermektedir. Fleet, JWT imzalarını Microsoft'un çok kiracılı JWKS uç noktasıyla doğruladığı ancak `aud` (audience) veya `iss` (issuer) taleplerini zorunlu kılmadığı için, beklenen kapsamları içeren Microsoft imzalı herhangi bir Azure AD erişim belirteci, Fleet'in MDM uç noktalarında kimlik doğrulamak için kullanılabilir. Windows MDM etkinse, herhangi bir Azure AD kiracısına erişimi olan bir saldırgan, geçerli bir Microsoft imzalı belirteç elde edebilir ve bunu yetkisiz cihazları kaydetmek ve Fleet'in MDM yönetim API'leri ile etkileşime girmek için kullanabilir. Cihaz yönetimi sırasında Fleet, MDM komut yüklerinde gömülü hassas kayıt sırlarını ifşa ederek daha fazla yetkisiz erişime imkan tanıyabilir. Versiyon 4.82.0 bir yama içermektedir. Hemen yükseltme yapılması mümkün değilse, etkilenen Fleet kullanıcıları geçici olarak Windows MDM'yi devre dışı bırakmalıdır.