Fleet: Unbegrenzte Rekursion in der Plist-Verarbeitung der Apple-MDM-Registrierung (DoS)
Zusammenfassung
Fleet vor 4.89.0 enthält eine Schwachstelle durch unbegrenzte Rekursion im Parser für Property Lists der Apple-MDM-Registrierung. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf einen Fleet-Server mit aktiviertem Apple MDM kann eine präparierte binäre Plist von rund 150 Bytes an die Registrierungs-Endpunkte senden. Dies führt zu exponentieller Speicherallokation oder unendlicher Rekursion, erschöpft CPU und Speicher und bringt den Server zum Absturz, wodurch die Verwaltung der gesamten Instanz unterbrochen wird.
Betroffen
- Fleet vor 4.89.0 (Go-Paket github.com/fleetdm/fleet)
- Nur Instanzen mit aktiviertem Apple MDM sind betroffen.
Behoben in
- 4.89.0 ist gemäss den Daten der CNA die erste nicht betroffene Version.
- 4.92.0 verlagert den Schutz in den vorgelagerten Parser micromdm/plist (v0.3.0). Verwenden Sie eine aktuelle Version.
Umgehung
- Netzwerkzugriff auf /api/mdm/apple/enroll und /api/mdm/apple/account_driven_enroll auf vertrauenswürdige Netzwerke beschränken.
- Grössenbeschränkungen für Anfragen schützen nicht vor dieser Schwachstelle, da die schädliche Nutzlast klein ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- In den geprüften Quellen sind keine bekannte Ausnutzung und kein Eintrag im CISA KEV bekannt.
- Der Status eines öffentlichen Proof-of-Concept ist widersprüchlich und nicht verifiziert.
Unsere Empfehlung
- Prüfen Sie, ob Sie einen selbst betriebenen Fleet-Server mit aktiviertem Apple MDM und einer Version älter als 4.89.0 betreiben.
- Aktualisieren Sie mit Priorität auf eine aktuelle Fleet-Version (4.92.0 oder neuer), wenn die MDM-Endpunkte aus dem Internet erreichbar sind.
- Beschränken Sie bis zur Aktualisierung die Apple-MDM-Registrierungs-Endpunkte auf vertrauenswürdige Netzwerke.
- Überwachen Sie den Server auf Abstürze und Neustarts und prüfen Sie, ob der Server im Asset-Inventar und in fixierten Container-Images erfasst ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-x467-vgxf-2g6h github.com
- VulnCheck advisory www.vulncheck.com
- Fleet security advisories github.com
- Fleet release v4.92.0 github.com
- Vulners CVE record (CNA data) vulners.com
- VulDB CVE-2026-111923 vuldb.com
- RedPacket Security CVE alert www.redpacketsecurity.com
- CVE Threat Intelligence record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.