CVE-2026-46538
Açıklama
Cihazlar ve platformlar arasında akıllı otomasyon için geliştirilen açık kaynaklı Microsoft UFO çerçevesinde; 3.0.1-4-ge2626659 sürümünde, Microsoft UFO'nun constellation istemcisi bekleyen görev yanıtlarını yalnızca session_id üzerinden takip eder ve bir TASK_END mesajının görevi aslen alan cihazdan geldiğini doğrulamaz. Constellation hedef bir cihaza görev gönderdiğinde, bir oturum anahtarı altında bekleyen bir Future kaydeder. Bekleyen görev kaydı beklenen cihaz kimliğini saklar ancak tamamlama yolu bu bağlamayı görmezden gelir. Kimliği doğrulanmış başka bir eş cihaz aynı session_id ile sahte bir TASK_END gönderirse, constellation yanıtı kabul eder ve mağdur cihazın bekleyen Future işlemini saldırgan tarafından kontrol edilen sonuç verileriyle tamamlar. Bu durum, kimliği doğrulanmış cihazlar arası bir görev sonucu enjeksiyonu sorunudur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft UFO | 3.0.1-4-ge2626659 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.