Fleet Device Management: Authentifizierungsumgehung über Geräte-Identifikatoren

Zusammenfassung

Fleet-Versionen vor 4.87.0 akzeptieren für die Geräte-API neben UUIDs von Geräten auch Hostnamen und Hardware-Seriennummern als Authentifizierungs-Token. Ein nicht authentifizierter Angreifer, der einen solchen Identifikator für einen registrierten iOS- oder iPadOS-Host kennt oder errät, kann als dieser Host auftreten. Damit können Gerätedaten gelesen und gerätebezogene Aktionen wie die Installation von Software oder eine MDM-Migration ausgelöst werden. Betroffen sind nur Installationen mit registrierten iOS- oder iPadOS-Hosts.

Betroffen

• Fleet-Versionen vor 4.87.0
• Nur iOS- und iPadOS-Hosts sind betroffen

Behoben in

• Fleet 4.87.0 und neuer, die diesen Authentifizierungspfad auf eine exakte Übereinstimmung mit der Geräte-UUID beschränken

Umgehung

• Es ist keine vollständige Workaround-Massnahme dokumentiert. Ein Upgrade ist erforderlich.
• Bis zum Upgrade sind Hostnamen und Seriennummern von iOS- und iPadOS-Hosts als sensitiv zu behandeln, und die Netzwerkexposition des Fleet-Servers ist nach Möglichkeit einzuschränken.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt. CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als yes.
• Öffentlich verfügbarer Proof-of-Concept-Exploit: unbekannt.

Unsere Empfehlung

• Fleet-Version prüfen und feststellen, ob der Fleet-Server aus dem Internet erreichbar ist.
• So rasch wie möglich auf Fleet 4.87.0 oder eine neuere Version aktualisieren. Aus dem Internet erreichbare Server haben Priorität.
• Audit-Logs auf unerwartete Anfragen an die Geräte-API, Softwareinstallationen und MDM-Migrationen auf iOS- und iPadOS-Hosts prüfen.
• Den Netzwerkzugriff auf die Geräte-API dort einschränken, wo es betrieblich möglich ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vrc8-2wcx-327f github.com
• VulnCheck advisory: Fleet before 4.87.0 authentication bypass www.vulncheck.com
• OSV entry CVE-2026-103264 osv.dev
• OpenCVE entry CVE-2026-103264 app.opencve.io
• Fleet security overview github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:41.