PT-2026-22114 · Fleet · Fleet
Secfox-Ai
·
Publicado
2026-02-26
·
Atualizado
2026-03-25
·
CVE-2026-23999
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Fleet anteriores a 4.80.1
Descrição
O Fleet gera PINs de bloqueio e limpeza do dispositivo usando um algoritmo previsível baseado no timestamp Unix atual nas versões afetadas. O PIN pode ser potencialmente derivado se o horário aproximado em que o dispositivo foi bloqueado for conhecido, já que nenhuma chave secreta ou entropia adicional é utilizada. Um atacante com acesso físico a um dispositivo bloqueado e conhecimento do horário aproximado de bloqueio poderia teoricamente prever o PIN correto dentro de uma janela de busca limitada. A exploração bem-sucedida requer acesso físico ao dispositivo, conhecimento do horário aproximado de bloqueio e está limitada pela limitação de taxa do sistema operacional nas tentativas de inserção de PIN. Este problema não permite exploração remota nem contorno dos controles de autenticação do Fleet.
Recomendações
Versões anteriores a 4.80.1 devem ser atualizadas para a versão 4.80.1 ou superior.
Exploit
Correção
Use of Insufficiently Random Values
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fleet