CVE-2026-105793
Açıklama
Microsoft UFO, cihazlar ve platformlar arasında akıllı otomasyon için açık kaynaklı bir çerçevedir. 3.0.9 sürümünden önce, ufo/client/mcp/http_servers/mobile_mcp_server.py dosyasındaki press_key aracı, serbest biçimli bir key_code parametresi kabul eder ve bunu `adb shell input keyevent` komutuna iletir. adb istemcisi, argümanları Android kabuğunun yeniden ayrıştırdığı uzak bir komut dizesinde birleştirir; bu durum, kimliği doğrulanmış bir Mobile MCP çağırıcısının, yetkilendirilmiş bağlı bir cihazda Android kabuk kullanıcısı olarak ek komutlar yürütmesine olanak tanır. İstismar için geçerli bir UFO_MCP_API_KEY, ana bilgisayarda adb ve erişilebilir yetkili bir cihaz gereklidir; ayrıca bu durum ana bilgisayar işletim sistemi düzeyinde yürütme, Android root yürütme veya Android kabuk kullanıcı ayrıcalıklarının ötesinde bir erişim sağlamaz. Bu sorun 3.0.9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft UFO | < 3.0.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.