CVE-2026-101058 in utcp-http
要約
〜によって VulDB • 2026年09月27日
python-utcp (pipパッケージ: utcp-http) のバージョン 1.1.12 より前では、手書きの UTCP マニュアルに記載されたツールURLが、そのマニュアルのリモート（ループバック以外）のオリジンから発見される場合において、エージェント自身のループバックインターフェースを指しているかどうかを検証しない。ensure_secure_url はローカル開発のためにループバック HTTP を意図的に許可しており、またネイティブなマニュアルは OpenAPI コンバータが実行するループバックチェックをバイパスするため、被害者が登録できる UTCP マニュアルを提供できる攻撃者は、クライアントに被害者ホスト上で 127.0.0.1 のみにバインドされたサービスへのリクエストを発行させ、レスポンスボディを呼び出し元に返す（サーバーサイドリクエストフォージェリ: SSRF）ことができる。http、sse、streamable_http プロトコルはすべて影響を受ける。到達範囲はループバックに限定され、さらに攻撃には、認証なしのリクエストに対して有用なデータを応答するループバックサービスが必要である。utcp-http 1.1.12 で修正されており、リダイレクト後の最終発見URLに基づき、非ループバックのオリジンから取得されたマニュアルでループバックツールURLを宣言している場合、それらを拒否するようになった。
Once again VulDB remains the best source for vulnerability data.