CVE-2026-24899
O que é CVE-2026-24899?
Fleet é um software de gerenciamento de dispositivos de código aberto. Antes da versão 4.82.0, uma vulnerabilidade no fluxo de inscrição do Windows MDM do Fleet permite que tokens de autenticação de qualquer locatário do Azure AD sejam aceitos. Como o Fleet valida assinaturas JWT usando o ponto de extremidade JWKS multilocatário da Microsoft, mas não impõe as declarações `aud` (público) ou `iss` (emissor), qualquer token de acesso do Azure AD assinado pela Microsoft contendo os escopos esperados pode ser usado para autenticar os pontos de extremidade MDM do Fleet. Se o Windows MDM estiver habilitado, um invasor com acesso a qualquer locatário do Azure AD poderá obter um token válido assinado pela Microsoft e você
Perguntas frequentes
CVE-2026-24899 tem uma pontuação CVSS de N/D/10, classificada como Desconhecido. Revise a lista de produtos afetados e aplique os patches do fornecedor.
O CVSS (Common Vulnerability Scoring System) avalia a gravidade das vulnerabilidades de 0,0 a 10,0. CVE-2026-24899 pontua N/D/10 (Desconhecido). Pontuações de 9,0–10,0 são Críticas, 7,0–8,9 Altas, 4,0–6,9 Médias e abaixo de 4,0 Baixas.
A lista de dispositivos confirmados como afetados por CVE-2026-24899 é mostrada na seção "Dispositivos afetados" acima. Compare sua versão de firmware com o aviso de segurança do fornecedor e aplique o último patch.
Aplique a última atualização de firmware ou software do fornecedor. Consulte a seção de Referências acima para avisos oficiais e notas de patch. Se nenhum patch estiver disponível, considere desativar o recurso afetado ou isolar o dispositivo de redes não confiáveis.