Kiota, ein auf OpenAPI basierender Code-Generator für HTTP-Clients, neutralisiert Block-Kommentar-Terminatoren in den Java- und PHP-Generatoren nicht vollständig. Vom Angreifer kontrollierter Text in einer OpenAPI-Beschreibung kann einen Kommentar-Terminator neu bilden und Code ausserhalb eines generierten Dokumentationskommentars platzieren. Voraussetzung ist, dass ein Entwickler oder eine Build-Pipeline Code aus der bösartigen Beschreibung generiert und anschliessend die Java-Ausgabe kompiliert und lädt oder die PHP-Ausgabe lädt.
Microsoft · Kiota
MsQuic-Clients mit dem TLS-Backend OpenSSL oder QuicTLS prüfen nicht, ob das Serverzertifikat zum vorgesehenen Zielhostnamen passt. Ein Angreifer auf dem Übertragungsweg kann ein Zertifikat für einen anderen Hostnamen präsentieren und den Server in einem Man-in-the-Middle-Angriff imitieren. Das Schannel-Backend ist nicht betroffen.
Microsoft · MsQuic
Microsoft UFO, ein Open-Source-Framework für Automatisierung, übergibt den nicht validierten Parameter key_code des Mobile-MCP-Tools press_key an 'adb shell input keyevent'. Ein authentifizierter Aufrufer kann zusätzliche Shell-Befehle einschleusen, die als Android-Shell-Benutzer auf einem autorisierten, verbundenen Android-Gerät ausgeführt werden. Voraussetzung sind ein gültiger UFO_MCP_API_KEY, adb auf dem Host und ein erreichbares, autorisiertes Gerät; ein Zugriff auf das Host-Betriebssystem oder Root-Rechte auf Android werden nicht gewährt.
Microsoft · UFO
Microsoft UFO, ein Open-Source-Framework für Agenten, die einen Windows-Desktop automatisieren, ist in Versionen vor 3.0.9 betroffen. Das Tool run_shell prüft nur das erste Token eines Befehls und erlaubt explorer.exe, das seinen Pfad-Argument an ShellExecute weitergibt; dadurch kann ein Angreifer über einen beeinflussten Agenten-Aufruf eine beliebige Anwendung oder ein beliebiges Skript als angemeldeter Benutzer starten. Voraussetzung ist, dass ein Benutzer einen betroffenen Agenten-Workflow ausführt und ein Tool-Aufruf provoziert wird; bei erfolgreicher Ausführung können Dateien, Token und Sitzungen dieses Benutzers eingesehen oder verändert werden.
Microsoft · UFO
Microsoft UFO übergibt vom Aufrufer gelieferte Texte und Paketnamen aus den Mobile-MCP-Werkzeugen type_text und launch_app ohne umfassende Validierung an adb-Shell-Befehle. Ein Angreifer mit einem gültigen Mobile-MCP-API-Schlüssel und Zugriff auf ein erreichbares, für ADB autorisiertes Android-Gerät kann Shell-Metazeichen einschleusen und zusätzliche Befehle ausführen. Die Auswirkung beschränkt sich auf den Android-Shell-Benutzer auf diesem Gerät; die Advisory nennt keinen Zugriff auf das Host-Betriebssystem oder Root-Rechte.
Microsoft · UFO
Microsoft Exchange Server 2016 CU23, 2019 CU14 und CU15 sowie Subscription Edition RTM sind von einer Schwachstelle betroffen, die einem authentifizierten Angreifer Zugriff auf Postfächer anderer Benutzer innerhalb derselben Organisation ermöglicht. Der Angreifer kann dabei E-Mails und Anhänge lesen. Voraussetzung ist ein gültiges Konto auf der Exchange-Organisation; laut Hersteller erlaubt die Schwachstelle keinen Zugriff über Mandantengrenzen hinweg. CVSS 8.8 (Hoch).
Microsoft · Exchange Server
