CVE-2026-62316 in UFO
요약
\~에 의해 VulDB • 2026. 08. 22.
Microsoft의 UFO는 장치 및 플랫폼 전반에 걸친 지능형 자동화를 위한 오픈소스 프레임워크입니다. 버전 3.0.8 이전에서는 ufo/client/mcp/http_servers/linux_mcp_server.py가 FastMCP 스트리밍 HTTP 서버를 localhost:8010에 바인딩하지만 Host, Origin 또는 Sec-Fetch-Site 헤더를 검증하지 않습니다. 공격자가 제어하는 웹 페이지는 DNS 리바운딩을 사용하여 로컬 /mcp 엔드포인트에 접근하고, tools/list를 통해 도구 스키마를 열거한 다음 유효한 UFO_MCP_API_KEY로 execute_command를 호출하여 피해자 사용자의 권한으로 파일을 읽거나 허용된 운영 체제 명령어를 실행할 수 있습니다. 이 문제는 버전 3.0.8에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.