- Yama var
- Son 7 gün
- CWE-295
CVE-2026-114611
OCO-Server MDM /profile uç noktasında sahte PKCS#7 imzası kabul edilmesi (kimlik ve cihaz kaydı ele geçirme)
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, yönetilen mobil ve bilgisayar cihazlarınızın yönetim bağlantısının dışarıdan ele geçirilmesine yol açabilir. Saldırı için kimlik doğrulama gerekmediğinden risk yüksektir ve acil işlem gerektirir. Yama uygulanana kadar cihaz yönetiminizin güvenliği ciddi biçimde tehlikededir.
ÖzetTürkçe
OCO-Server'ın MDM kayıt uç noktası, kayıt isteğinin imzasını doğrularken PKCS7_NOVERIFY seçeneğini kullanır; bu nedenle sertifika zinciri ve güven doğrulaması yapılmaz ve kendinden imzalı bir sertifikayla atılan imza kabul edilir. 1.2.3 öncesi tüm OCO-Server sürümleri etkilenmektedir. Saldırgan, bir cihazın seri numarasını bilmesi yeterli olduğunda kimlik doğrulaması olmadan o cihazın MDM kimliğini elde edebilir.
Saldırgan ne yapabilir?
Saldırgan, hedef cihazın MDM sertifikasını ve özel anahtarını ele geçirip cihazı taklit edebilir ve cihazın yönetim verilerini okuyabilir, push belirtecini değiştirebilir ve kaydını bozabilir ya da yönlendirebilir.
Kaynaktaki açıklama (İngilizce)
OCO-Server is a self-hosted endpoint management application for computer inventory, software deployment, and mobile device management. Prior to 1.2.3,the Apple MDM enrollment endpoint frontend/api-mdm.php verifies the signed enrollment-request plist with openssl_pkcs7_verify(..., PKCS7_NOVERIFY, ...). PKCS7_NOVERIFY disables signer certificate chain and trust validation, so the signature only has to be self-consistent with whatever certificate is embedded in the PKCS#7 blob. A self-signed certificate from an unrelated attacker is accepted. Because the endpoint trusts the SERIAL field taken from the unverified payload, anyone who knows a registered device's serial number can sign a forged plist (SERIAL = victim device, attacker-chosen UDID) with an arbitrary self-signed certificate; POST it unauthenticated to /api-mdm.php/profile (Content-Type: application/pkcs7-signature); and receive the victim device's freshly minted MDM identity: a certificate with CN=<serial> issued by the server's internal MDM device CA, bundled with its private key in a PKCS#12 payload inside the returned .mobileconfig enrollment profile. Additionally, the victim's mobile_device database row is silently overwritten with the attacker-supplied UDID (device-record hijack). With the stolen certificate and key, the attacker can impersonate the victim device on all subsequent MDM traffic (/checkin, /mdm, /parameters), which authenticate callers by the certificate CN (the serial number) via checkSignature() in the same file. This yields control over the victim device's MDM relationship: reading its management data, replacing its push token, and disrupting or redirecting its enrollment. Version 1.2.3 fixes the issue.
Ne yapmalı?
- OCO-Server'ı 1.2.3 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeden sonra MDM kayıt uç noktasının artık sahte imzaları reddettiğini test edin. Genel öneri
- Güncelleme öncesinde yetkisiz kayıt veya beklenmedik cihaz kaydı değişikliği olup olmadığını veritabanı ve erişim kayıtlarından inceleyin. Genel öneri
- Şüpheli bulunan cihazların MDM kimlik bilgilerini iptal edip yeniden kaydettirin. Genel öneri
Ek önlemler
- MDM uç noktalarına yönelik erişim günlüklerini izleyerek beklenmedik /profile isteklerini takip edin. Genel öneri
- Yönetim arayüzünü ve MDM uç noktalarını gereksiz yere internete açık bırakmayın; erişimi ağ düzeyinde sınırlandırın. Genel öneri
- Cihaz seri numaralarını yalnızca yetkili kişilerle paylaşın, çünkü bu saldırıda seri numarası önemli bir bilgi olarak kullanılmaktadır. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| schorschii OCO-Server | < 1.2.3 | 1.2.3 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.