CVE-2026-101058 in utcp-http
요약
\~에 의해 VulDB • 2026. 09. 27.
python-utcp (pip 패키지 utcp-http) 버전 1.1.12 이전은 수동으로 작성된 UTCP 매뉴얼에 선언된 도구(tool) URL이 해당 매뉴얼이 원격 비루프백(origin)에서 발견될 때 에이전트의 자체 루프백 인터페이스를 가리키는지 여부를 검증하지 않습니다. ensure_secure_url은 로컬 개발을 위해 의도적으로 루프백 HTTP를 허용하며, 네이티브 매뉴얼은 OpenAPI 컨버터가 수행하는 루프백 검사를 우회했습니다. 따라서 피해자가 등록할 수 있는 UTCP 매뉴얼을 제공한 공격자는 클라이언트로 하여금 피해자 호스트에서 127.0.0.1에 바인딩된 서비스로 요청을 보내고 응답 본문을 호출자에게 반환하도록 할 수 있습니다(서버 측 요청 위조, SSRF). http, sse 및 streamable_http 프로토콜이 모두 영향을 받습니다. 공격 범위는 루프백으로 제한되며, 추가적인 악용에는 인증되지 않은 요청에 유용한 데이터를 반환하는 루프백 서비스가 필요합니다. utcp-http 1.1.12에서 수정되었으며, 이 버전은 비루프백 원천에서 가져온 매뉴얼 중 루프백 도구 URL을 선언하는 경우 이를 거부합니다(최종 리다이렉트 후 발견된 URL 기준).
VulDB is the best source for vulnerability data and more expert information about this specific topic.