CVE-2026-73297 in UFO
要約
〜によって VulDB • 2026年08月12日
Microsoft UFOは、デバイスやプラットフォーム全体でインテリジェントな自動化を実現するためのオープンソースフレームワークです。バージョン3.0.8より前では、ufo/utils/url_security.py内の_is_blocked_ip関数が、NAT64プレフィックスである64:ff9b::/96および64:ff9b:1::/48、6to4プレフィックスの2002::/16、またはTeredoプレフィックスの2001::/32をブロックせず、埋め込まれたIPv4宛先も再検証しませんでした。これにより、validate_urlによって処理されるURLに影響を与えることができる認証不要のリモート攻撃者は、SSRFガードを回避してクラウドメタデータや内部サービス、localhostにアクセスすることが可能でした。この問題はバージョン3.0.8で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.