CVE-2026-46544
Təsvir
Cihazlar və platformalar arasında intellektual avtomatlaşdırma üçün nəzərdə tutulmuş açıq mənbəli Microsoft UFO framework-unda zəiflik aşkar edilmişdir. 3.0.1-4-ge2626659 versiyasında Microsoft UFO, WebSocket tapşırıq mesajlarında klient tərəfindən təqdim edilən session_id dəyərlərini qəbul edir və həmin session_id artıq mövcudursa, yaddaşdakı (in-memory) mövcud sessiya obyektindən yenidən istifadə edir. Əgər əvvəlki sessiya tamamlanıbsa və doldurulmuş nəticələrlə birlikdə yaddaşda qalıbsa, autentifikasiya olunmuş fərqli bir klient eyni session_id-ni istifadə edərək yeni TASK mesajı göndərə bilər. Server mövcud sessiya obyektinə yenidən daxil olur və köhnəlmiş saxlanılmış nəticəni standart send_task_end() callback yolu ilə yeni sorğu göndərənin ünvanına ötürür. Bu, autentifikasiya olunmuş klientlərararası köhnəlmiş nəticənin təkrar oynadılması (stale result replay) problemidir. Problemin baş verməsi üçün hücumçunun aktiv olan və ya yaxınlarda tamamlanmış session_id-ni bilməsi və ya proqnozlaşdıra bilməsi tələb olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microsoft UFO | 3.0.1-4-ge2626659 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.