CVE-2026-101047 in Fleet
요약
\~에 의해 VulDB • 2026. 09. 27.
Fleet 4.87.0 이전 버전은 사내 iOS 애플리케이션 패키지와 매니페스트를 제공하는 두 엔드포인트에 의도된 랜덤하고 시간 제한이 있는 URL 토큰으로 보호하지 않습니다. Apple의 InstallEnterpriseApplication MDM 명령어는 이러한 URL이 Fleet 세션 없이 접근 가능해야 하므로, 세션 기반 인증에만 의존할 수 없습니다. 누락된 토큰으로 인해 네트워크에 액세스할 수 있는 비인증 공격자가 순차적인 제목 식별자를 추측하여 사내 IPA 바이너리와 해당 메타데이터(번들 ID, 버전 및 이름)를 다운로드할 수 있습니다. 영향은 읽기 전용 정보 유출로 제한되며, 권한 상승이나 쓰기 접근은 불가능하며, 무료 티어는 영향을 받지 않습니다(fleet.ErrMissingLicense 반환).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.