🇰🇷 한글 설명
Microsoft의 오픈소스 자동화 프레임워크인 UFO 3.0.8 미만 버전에서 인증 없이 HTTP MCP 서비스가 노출되는 취약점이 발견되었습니다. 공격자는 이를 통해 ADB로 연결된 안드로이드 기기에 원격으로 접속하여 스크린샷 캡처, UI 제어, 앱 실행 등을 수행하고 기기 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
스마트폰을 자동으로 조작해주는 프로그램에 보안 문이 열려 있는 상태입니다. 해커가 멀리서 내 스마트폰 화면을 몰래 보거나 마음대로 조작할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
Microsoft UFO open-source framework for intelligent automation across devices and platforms. Prior to 3.0.8, create_mobile_data_collection_server and create_mobile_action_server in ufo/client/mcp/http_servers/mobile_mcp_server.py exposed Streamable HTTP MCP services on TCP ports 8020 and 8021 without authentication, allowing an unauthenticated remote attacker to invoke capture_screenshot, get_ui_tree, tap, swipe, type_text, launch_app, press_key, and click_control against an ADB-connected Android device, disclose screen and device data, and modify device state. This issue is fixed in version 3.0.8.
📍 영향받는 시스템
Microsoft UFO framework versions prior to 3.0.8
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 TCP 포트 8020 또는 8021을 통해 HTTP MCP 서비스에 접근
🛡️ 대응 방법
Microsoft UFO 프레임워크를 최신 버전인 3.0.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 3.0.8 미만이면 취약한 버전입니다.
pip show ufo | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
Microsoft Edge for Android