CVE-2026-105790
Təsvir
Microsoft UFO cihazlar və platformalar arasında intellektual avtomatlaşdırma üçün açıq mənbəli freymvorkdur. Versiya 3.0.9-a qədər, /api/devices vasitəsilə autentifikasiya olunmuş cihaz qeydiyyatı zamanı hücumçunun idarə etdiyi icazəli WebSocket son nöqtəsi təmin edilə bilər, halbuki aip/transport/websocket.py faylı pinned_addresses parametrini yalnız ilkin təyinat nöqtəsinə tətbiq edir. Sabitlənmiş websockets.connect() kliyenti cross-origin yönləndirmələrini izləyir və Galaxy post-handshake peer-IP yoxlamasını yerinə yetirməzdən əvvəl yeni TCP bağlantısı açır ki, bu da serverdən əlçatan olan daxili hostlara WebSocket upgrade sorğularının göndərilməsinə şərait yaradır. Təsdiqlənmiş təsir daxili bağlantı və handshake sorğusudur; bu, ixtiyari HTTP metodlarının qurulmasına, cavab gövdəsinin (response-body) ifşasına, tamamlanmış AIP sessiyasına və ya bulud metadata girişinə imkan vermir. Bu problem 3.0.9 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microsoft UFO | < 3.0.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.