漏洞概述
Fleet 是一款开源的设备管理软件。在受影响版本中，Windows MDM（移动设备管理）注册流程存在身份验证缺陷，攻击者可提交伪造的 JWT（JSON Web Token）认证令牌，由于系统未正确验证 JWT 签名，导致 Fleet 可能接受由攻击者控制的身份声明，从而允许未经授权的设备以任意 Azure AD 用户身份完成注册。该漏洞已被分配 CVE 编号 CVE-2026-23518，CVSS v4.0 评分为 9.3（严重）。
漏洞详情
- CVE 编号：CVE-2026-23518
- 漏洞类型：JWT 签名未验证（CWE-347: Improper Verification of Cryptographic Signature）
- CVSS 评分：9.3（CRITICAL，CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H）
- 影响版本：Fleet < 4.78.3、< 4.77.1、< 4.76.2、< 4.75.2 和 < 4.53.3
影响范围
所有使用 Fleet 开源设备管理平台并启用了 Windows MDM 功能的部署环境均受影响，特别是运行以下版本之一的实例：低于 4.78.3、4.77.1、4.76.2、4.75.2 或 4.53.3 的任何版本。
风险分析
该漏洞允许未经身份验证的远程攻击者绕过设备注册的身份验证机制，冒充任意 Azure AD 用户注册恶意设备。成功利用可能导致企业环境中设备管理策略被绕过、敏感数据泄露、横向移动甚至持久化后门植入，对组织的终端安全构成严重威胁。
修复建议
- 立即升级至已修复的安全版本：4.78.3、4.77.1、4.76.2、4.75.2 或 4.53.3（根据当前主版本选择对应补丁版本）。
- 若无法立即升级，应临时禁用 Fleet 中的 Windows MDM 功能，直至完成修复。
