CVE-2026-105788
Təsvir
Microsoft UFO cihazlar və platformalar arasında intellektual avtomatlaşdırma üçün açıq mənbəli freymvorkdur. 3.0.10 versiyasından əvvəl, ufo/client/mcp/http_servers/mobile_mcp_server.py faylındakı type_text və launch_app alətləri autentifikasiya olunmuş çağırıcı tərəfindən idarə olunan text və package_name parametrlərini hərtərəfli yoxlama aparmadan adb shell əmrinin arqument mövqelərinə ötürür. adb kliyenti bu arqumentləri Android shell-i tərəfindən yenidən təhlil edilən uzaq əmr sətirinə birləşdirir ki, bu da shell meta simvolları vasitəsilə səlahiyyətli qoşulmuş cihazda Android shell istifadəçisi kimi əlavə əmrlərin icrasına imkan verir. İstismar üçün etibarlı Mobile MCP API açarı və ADB üçün səlahiyyətləndirilmiş əlçatan cihaz tələb olunur; bu, host əməliyyat sistemində kodun icrasını, Android root icrasını və ya Android shell-istifadəçisinin imtiyazlarından kənar giriş imkanı yaratmır. Bu problem 3.0.10 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microsoft UFO | < 3.0.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.