Fleet: Unauthenticated download of in-house iOS app binaries via predictable URLs

Beschreibung

### Zusammenfassung Zwei Endpunkte, die interne iOS-Anwendungspakete und Manifeste in der Enterprise-Ebene von Fleet bedienen, sind ohne ein schwer zu erratendes Token in der URL erreichbar, so dass ein nicht authentifizierter Angreifer, der den Fleet-Server erreichen kann, ein internes IPA herunterladen kann, indem er sequentielle Titelkennungen errät. ### Impact By design erfordert Apples MDM-Befehl „InstallEnterpriseApplication, dass die manifeste URL vom verwalteten Gerät ohne Flottensitzung erreichbar ist, sodass diese Endpunkte keine sitzungsbasierte Authentifizierung erzwingen können. Der Legacy-MMD-Installer-Pfad von Fleet mildert dies ab, indem er ein zufälliges, schwer zu erratendes Token in die URL einbettet; Die internen iOS-App-Endpunkte (später hinzugefügt) sollten immer das gleiche zeitlich begrenzte Token-Muster verwenden, aber die Minderung war noch nicht vorhanden. Das Ergebnis ist die schreibgeschützte Offenlegung der internen IPA-Binärdateien und ihrer Metadaten (Bundle-Kennung, Version, Name), die ein Betreiber über Fleet bereitgestellt hat. Dies ist nur Enterprise-Tier - die freie Ebene gibt 'Flotte' zurück. ErrMissingLicense`. Es gibt keine Privilegeskalation, keinen Schreibzugriff oder Auswirkungen auf Hosts, die nicht von Fleet verwaltet werden. ### Workarounds Wenn ein sofortiges Upgrade nicht möglich ist: - Beschränken Sie den Netzwerkzugriff auf den Fleet-Server auf vertrauenswürdige Netzwerke, wie es für MDM-Bereitstellungen typisch ist. Entfernen Sie interne iOS-Apps, die sensibles Material von Fleet enthalten; interne App-IPAs sind absichtlich von verwalteten Geräten erreichbar und sollten nicht als vertraulicher Vertriebskanal verwendet werden. - Wenn verfügbar, konfigurieren Sie die CloudFront-URL-Signierung für Softwareinstallateure, um das Gültigkeitsfenster der ausgegebenen binären URLs zu begrenzen. ### Für weitere Informationen Wenn Sie Fragen oder Kommentare zu dieser Empfehlung haben: E-Mail an [security@fleetdm.com](mailto:security@fleetdm.com) Treten Sie der #fleet in [osquery Slack](https://join.slack.com/t/osquery/shared invite/zt-h29zm0gk-s2DBtGUTW4CFel0f0IjTEw) bei ### Kredite Wir danken @offset für die verantwortungsbewusste Berichterstattung über dieses Problem.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 4.87.0.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apple github.com/fleetdm/fleet/v4.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.