Jamf Pro 11.31.1 : qualifier les correctifs serveur avant de remettre le MDM au centre de confiance

Article créé le 26 août 2026 · Source analysée le 26 août 2026 · Source officielle : Jamf · Thème : Jamf Pro, sécurité MDM et conformité iOS

Jamf Pro 11.31.1 corrige deux problèmes XSS, actualise Spring Framework dans les installateurs et documente un défaut lié à la redistribution d’une configuration de conformité pour appareils iOS partagés. Une DSI doit traiter cette version comme une maintenance du plan de contrôle MDM, avec sauvegarde, qualification et preuve de bon fonctionnement après mise à niveau.

1. Ce que Jamf documente précisément

Les notes officielles de Jamf Pro 11.31.1 listent deux problèmes de cross-site scripting corrigés, référencés PI186191 et PI208395. Jamf indique aussi que les installateurs embarquent Spring Framework 6.2.18, qui inclut des corrections pour plusieurs vulnérabilités, dont CVE-2026-41842 et CVE-2026-41855.

Jamf ne publie pas, sur cette page, de scénario d’exploitation, de score CVSS ni d’indication d’exploitation active pour les deux problèmes XSS. Il faut donc éviter d’inventer une criticité : la décision de maintenance doit croiser l’exposition réelle du serveur, l’architecture d’administration et la politique de gestion des vulnérabilités.

2. Le correctif iOS partagé à ne pas oublier

La même note précise qu’après modification du PLIST personnalisé utilisé pour la conformité des appareils iOS partagés, Jamf Pro pouvait ne pas redistribuer la configuration mise à jour aux appareils ciblés avant leur ré-enrôlement. Jamf indique que PI148391 était déjà corrigé dans Jamf Pro 11.31.0 mais avait été omis de ses notes.

Cette précision change le test à mener : il ne suffit pas de vérifier que le profil existe dans la console. Il faut modifier un paramètre sur un périmètre pilote, confirmer la redistribution sans ré-enrôlement, puis contrôler l’état effectivement reçu par les appareils.

3. Qu’est-ce que cette annonce change pour une entreprise belge ou française ?

Pour une PME dont Jamf est opéré par un partenaire, il faut demander la version du tenant ou du serveur, la fenêtre de maintenance et la preuve des contrôles post-mise à niveau. Pour une ETI, une grande entreprise ou une administration en Belgique ou en France, l’enjeu est plus large : Jamf Pro distribue des politiques, détient des données d’inventaire et pilote des appareils. Son plan de contrôle doit donc être protégé comme un composant d’infrastructure sensible.

Les installations auto-hébergées doivent examiner l’exposition des interfaces, les sauvegardes, les dépendances et le retour arrière. Les environnements Jamf Cloud doivent vérifier le calendrier de déploiement applicable à leur tenant et concentrer leurs tests sur les workflows métier, sans présumer qu’un correctif serveur valide automatiquement les profils et intégrations.

4. Lecture Underside : tester la chaîne de confiance, pas seulement la version

Notre lecture est qu’une mise à jour MDM réussie ne se résume pas à un numéro de build. La chaîne à valider va de l’authentification administrateur à l’envoi APNs, puis à la redistribution des profils, à l’inventaire et aux intégrations de conformité. Le défaut iOS partagé illustre précisément l’écart possible entre un objet correctement enregistré dans Jamf et son application réelle sur le terminal.

Cette qualification complète le travail sur l’enrôlement Mac avec Jamf Pro 11.31 et sur l’authentification OIDC des administrateurs Jamf Pro. Ensemble, ces contrôles couvrent l’accès au plan de gestion, l’entrée des appareils et la distribution effective des configurations.

5. Plan de mise à niveau recommandé

• Identifier la version, le modèle d’hébergement, l’exposition et la fenêtre de maintenance de chaque instance.
• Lire les notes 11.31 et 11.31.1, vérifier les prérequis, puis sauvegarder la base et les éléments requis par le runbook Jamf.
• Qualifier les accès administrateur, les rôles et les interfaces exposées avant et après mise à niveau.
• Tester ADE, commandes MDM, inventaire, apps, profils, APNs et intégrations de conformité sur un groupe pilote.
• Pour les iPhone ou iPad partagés concernés, modifier un PLIST pilote et prouver sa redistribution sans ré-enrôlement.
• Consigner version, résultats, anomalies et décision de généralisation dans le registre de changement.

Source officielle : Jamf Pro 11.31.1 — Resolved Issues (consultée le 26 août 2026).