CVE-2026-46538
Təsvir
Cihazlar və platformalar arasında intellektual avtomatlaşdırma üçün nəzərdə tutulmuş açıq mənbəli Microsoft UFO freymvorkunda zəiflik aşkar edilmişdir. 3.0.1-4-ge2626659 versiyasında Microsoft UFO-nun constellation klienti gözlənilən tapşırıq cavablarını yalnız session_id vasitəsilə izləyir və TASK_END mesajının tapşırığı ilkin olaraq alan cihazdan gəlib-gəlmədiyini yoxlamır. Constellation hədəf cihaza tapşırıq göndərdikdə, onu sessiya açarı altında gözlənilən Future kimi qeyd edir. Gözlənilən tapşırıq qeydi tələb olunan cihaz ID-sini saxlayır, lakin tamamlanma yolu bu əlaqəni nəzərə almır. Əgər autentifikasiya olunmuş digər bir həmyaşıq (peer) cihaz eyni session_id ilə saxtalaşdırılmış TASK_END göndərsə, constellation cavabı qəbul edir və qurban cihazın gözlənilən Future-nu hücumçunun idarə etdiyi nəticə məlumatları ilə tamamlayır. Bu, autentifikasiya olunmuş cihazlararası tapşırıq nəticələrinin inyeksiyası problemidir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microsoft UFO | 3.0.1-4-ge2626659 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.