PT-2026-3750 · Jetbrains · Fleet
Prateek-0490
·
Publicado
2026-01-20
·
Atualizado
2026-05-14
·
CVE-2026-23518
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Fleet anteriores a 4.53.3
Versões do Fleet 4.53.3 até 4.75.2
Versões do Fleet 4.75.2 até 4.76.2
Versões do Fleet 4.76.2 até 4.77.1
Versões do Fleet 4.77.1 até 4.78.3
Descrição
Existe uma falha crítica de autenticação no processo de registro no Windows MDM do Fleet Device Management. Atacantes podem contornar a autenticação enviando JWTs não assinados ou forjados maliciosamente. O sistema não possui verificação de assinatura JWT, aceitando reivindicações de identidade arbitrárias sem validar sua origem no Azure AD. Isso permite o registro de dispositivos não autorizados sob qualquer identidade de usuário do Azure AD.
Recomendações
Atualize para a versão 4.53.3 ou posterior do Fleet.
Se uma atualização imediata não for possível para as versões 4.53.3 até 4.75.2, desative temporariamente o Windows MDM.
Se uma atualização imediata não for possível para as versões 4.75.2 até 4.76.2, desative temporariamente o Windows MDM.
Se uma atualização imediata não for possível para as versões 4.76.2 até 4.77.1, desative temporariamente o Windows MDM.
Se uma atualização imediata não for possível para as versões 4.77.1 até 4.78.3, desative temporariamente o Windows MDM.
Exploit
Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fleet