O Fleet é um software de gestão de dispositivos de código aberto. Antes da versão 4.82.0, uma vulnerabilidade no fluxo de registro MDM do Windows da Fleet permite a aceitação de tokens de autenticação de qualquer inquilino Azure AD. Como a Fleet valida assinaturas JWT usando o endpoint JWKS multi- locante da Microsoft, mas não aplica as reivindicações `aud` (audiência) ou `iss` (emissão), qualquer token de acesso Azure AD assinado pela Microsoft que contenha os escopos esperados pode ser usado para autenticar os endpoints MDM da Fleet. Se o Windows MDM estiver ativado, um atacante com acesso a qualquer locatário Azure AD poderá obter um token válido assinado pelo Microsoft e usá- lo para inscrever dispositivos não autorizados e interagir com as APIs de gestão MDM da Frota. Durante a gestão de dispositivos, a Fleet pode expor segredos de inscrição sensíveis incorporados nas cargas úteis do comando MDM, permitindo um acesso adicional não autorizado. Versão 4.82.0 contém um patch. Se não for possível uma atualização imediata, os usuários da Frota afetados devem desativar temporariamente o Windows MDM. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 24899 foi publicado em 2026 - 05 - 14 T 20: 17: 01.873 Z e última modificação em 2026 - 06 - 17 T 10: 23: 46.450 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 8.2, gravidade HIGH, vetor CVSS: 4.0 /AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X; CVSS 3.1, pontuação de base 7.5, gravidade HIGH, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N, pontuação de exploração 3.9, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 290.
Os produtos ou plataformas nomeados nos dados de aplicabilidade incluem: frota frotadm.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.