CVE-2026-105788
Açıklama
Microsoft UFO, cihazlar ve platformlar arasında akıllı otomasyon için açık kaynaklı bir çerçevedir. 3.0.10 sürümünden önce, ufo/client/mcp/http_servers/mobile_mcp_server.py dosyasındaki type_text ve launch_app araçları, kimliği doğrulanmış çağırıcı tarafından kontrol edilen text ve package_name parametrelerini kapsamlı bir doğrulama yapmadan adb shell komut argüman konumlarına aktarmaktadır. adb istemcisi bu argümanları, Android shell tarafından yeniden ayrıştırılan uzak bir komut dizisine ekleyerek; kabuk meta karakterlerinin, yetkilendirilmiş bağlı bir cihaz üzerinde Android shell kullanıcısı olarak ek komutlar yürütmesine olanak tanımaktadır. İstismar edilmesi için geçerli bir Mobile MCP API anahtarı ve ADB için yetkilendirilmiş erişilebilir bir cihaz gereklidir; ayrıca bu durum ana bilgisayar işletim sistemi düzeyinde yürütme, Android root yetkileriyle yürütme veya Android shell-user ayrıcalıklarının ötesinde bir erişim sağlamaz. Bu sorun 3.0.10 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft UFO | < 3.0.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.