CVE-2026-114611 Elusión de verificación de firmas PKCS#7 en el endpoint MDM /profile de OCO-Server

Qué es CVE-2026-114611

OCO-Server anterior a 1.2.3 verifica el plist de solicitud de enrolamiento firmado en frontend/api-mdm.php con openssl_pkcs7_verify(..., PKCS7_NOVERIFY, ...), lo que desactiva la validación de cadena y confianza del certificado firmante. Un certificado autofirmado de un atacante no relacionado es aceptado y, como el endpoint confía en el campo SERIAL del payload no verificado, quien conozca el número de serie de un dispositivo registrado puede firmar un plist falsificado con SERIAL de la víctima y un UDID elegido…

Productos y versiones afectadas

• schorschii OCO-Server

  • < 1.2.3

Qué hacer

1. Verificá si usás OCO-Server y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

OCO-Server is a self-hosted endpoint management application for computer inventory, software deployment, and mobile device management. Prior to 1.2.3,the Apple MDM enrollment endpoint `frontend/api-mdm.php` verifies the signed enrollment-request plist with `openssl_pkcs7_verify(..., PKCS7_NOVERIFY, ...)`. `PKCS7_NOVERIFY` disables signer certificate chain and trust validation, so the signature only has to be self-consistent with whatever certificate is embedded in the PKCS#7 blob. A self-signed certificate from an unrelated attacker is accepted. Because the endpoint trusts the `SERIAL` field taken from the unverified payload, anyone who knows a registered device's serial number can sign a forged plist (`SERIAL` = victim device, attacker-chosen `UDID`) with an arbitrary self-signed certificate; POST it unauthenticated to `/api-mdm.php/profile` (Content-Type: `application/pkcs7-signature`); and receive the victim device's freshly minted MDM identity: a certificate with `CN=<serial>` issued by the server's internal MDM device CA, bundled with its private key in a PKCS#12 payload inside the returned `.mobileconfig` enrollment profile. Additionally, the victim's `mobile_device` database row is silently overwritten with the attacker-supplied `UDID` (device-record hijack). With the stolen certificate and key, the attacker can impersonate the victim device on all subsequent MDM traffic (`/checkin`, `/mdm`, `/parameters`), which authenticate callers by the certificate CN (the serial number) via `checkSignature()` in the same file. This yields control over the victim device's MDM relationship: reading its management data, replacing its push token, and disrupting or redirecting its enrollment. Version 1.2.3 fixes the issue.

Referencias

• github.com/schorschii/OCO-Server/security/advisories/GHSA-p549-5h7r-7639X_REFSOURCE_CONFIRM
• github.com/schorschii/OCO-Server/commit/5cab5ad2461434816d706b7be9cc08bda15c1404X_REFSOURCE_MISC
• github.com/schorschii/OCO-Server/commit/f3a6591136f9bd92aff39ddfb26587e6dfdb64dfX_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 16:42VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.