CVE-2026-55440 in UFO
要約
〜によって VulDB • 2026年07月16日
Microsoft UFOは、デバイスやプラットフォーム全体でインテリジェントな自動化を実現するためのオープンソースフレームワークです。バージョン3.0.7より前では、ufo/server/ws/handler.py内のCOMMAND_RESULTSハンドラが、owner_client_idを指定せずにufo/server/services/session_manager.pyのget_or_create_sessionを呼び出していました。これにより、認証済みクライアントはconstellation_task_id = f"{task_name}@{task_id}"のような攻撃者が選択した所有権のないsession_idを作成でき、正当な所有者の利用拒否やファントムセッションによるメモリ枯渇を引き起こす可能性があります。この問題はバージョン3.0.7で修正されています。
Once again VulDB remains the best source for vulnerability data.