Microsoft UFO: Server-side Request Forgery über WebSocket-Weiterleitungen

Zusammenfassung

Microsoft UFO vor 3.0.9 enthält eine Schwachstelle vom Typ Server-Side Request Forgery (SSRF) in der Geräteregistrierung von Galaxy. Ein Angreifer mit einem gültigen Konto, das die Geräteregistrierungs-API aufrufen darf, kann einen WebSocket-Endpunkt angeben, der Verbindungen auf interne Hosts umleitet, die vom UFO-Server erreichbar sind. Die bestätigte Auswirkung beschränkt sich auf das Öffnen einer internen Verbindung und das Senden einer WebSocket-Handshake-Anfrage; Antwortdaten, beliebige HTTP-Methoden und der Zugriff auf Cloud-Metadaten sind nicht belegt.

Betroffen

• Microsoft UFO-Versionen vor 3.0.9

Behoben in

• Behoben in Version 3.0.9

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Exploitation-Status "poc" (Proof of Concept), automatisierbar: nein
• Nicht in der CISA KEV aufgeführt
• Keine bestätigte Ausnutzung in freier Wildbahn bekannt

Unsere Empfehlung

• Microsoft UFO auf Version 3.0.9 oder eine spätere Version aktualisieren.
• Den Zugriff auf die Geräteregistrierungs-API auf vertrauenswürdige Benutzer und Netzwerke beschränken.
• Prüfen, ob der UFO-Server aus dem Internet erreichbar ist oder von nicht vertrauenswürdigen Konten genutzt wird.
• Logs auf ungewöhnliche Geräteregistrierungen und ausgehende WebSocket-Verbindungen des Servers überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3pgm-xw75-hq27 github.com
• UFO Release v3.0.9 github.com
• OSV: CVE-2026-105790 osv.dev
• OpenCVE: CVE-2026-105790 app.opencve.io
• Fix commit f31fb5e github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 05.11.2026 19:41.