CVE-2026-105793
Təsvir
Microsoft UFO cihazlar və platformalar arasında intellektual avtomatlaşdırma üçün açıq mənbəli freymvorkdur. 3.0.9 versiyasından əvvəl, ufo/client/mcp/http_servers/mobile_mcp_server.py faylındakı press_key aləti sərbəst formatlı key_code parametrini qəbul edir və onu `adb shell input keyevent` əmrinə ötürür. ADB kliyenti arqumentləri Android shell tərəfindən yenidən təhlil edilən uzaq əmr sətrinə birləşdirir ki, bu da autentifikasiya olunmuş Mobile MCP çağırıcısına icazə verilmiş qoşulu cihazda Android shell istifadəçisi kimi əlavə əmrləri icra etməyə imkan verir. Eksploytasiya üçün keçərli UFO_MCP_API_KEY, hostda adb və əlçatan icazəli cihaz tələb olunur; bu, host əməliyyat sistemində kodun icrasını, Android root səlahiyyətlərinin əldə edilməsini və ya Android shell-istifadəçi imtiyazlarından kənara çıxan giriş imkanlarını təmin etmir. Bu problem 3.0.9 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microsoft UFO | < 3.0.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.