CVE-2020-35137

**Nome do software vulnerável e versões afetadas:

Agentes MobileIron até 22/03/2021 para Android e iOS

Descrição:

O problema diz respeito a uma chave de API codificada usada para comunicação com a API de descoberta do MobileIron SaaS. Essa chave está localizada no arquivo com/mobileiron/registration/RegisterActivity.java e pode ser utilizada para solicitações “api/v1/gateway/customers/servers”. Observa-se que esse recurso é opcional, não está habilitado por padrão e requer um e-mail explícito ao suporte para ativação. Atualmente, o fornecedor não planeja fazer alterações nesse recurso.

Recomendações:

Para agentes MobileIron até 22/03/2021 para Android e iOS, considere desativar o recurso opcional que utiliza a chave de API codificada até que o fornecedor forneça orientações adicionais. Restrinja o acesso ao endpoint “api/v1/gateway/customers/servers” para minimizar o risco de exploração. Evite usar o recurso sem a ativação explícita do suporte para prevenir possíveis problemas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.