CVE-2026-73296
위험게시됨
Microsoft UFO: 인증되지 않은 모바일 MCP 접근으로 원격 Android 기기 제어 및 화면 노출 가능
- 게시됨
- 2026. 8. 12.
- 업데이트됨
- 2026. 8. 13.
- CNA 할당 중
- GitHub_M
- 증거 관찰됨
- 2026. 9. 2.
기본 CVSS
9.4/ 10위험
Microsoft UFO: 인증되지 않은 모바일 MCP 접근으로 원격 Android 기기 제어 및 화면 노출 가능
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L낮음 · 다음 30일
EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.
# Microsoft UFO 오픈소스 프레임워크: 기기 및 플랫폼 전반의 지능형 자동화 3.0.8 이전 버전에서 `ufo/client/mcp/http_servers/mobile_mcp_server.py`의 `create_mobile_data_collection_server` 및 `create_mobile_action_server`는 인증 없이 TCP 포트 8020과 8021에 Streamable HTTP MCP 서비스를 노출했습니다. 이로 인해 인증되지 않은 원격 공격자가 ADB에 연결된 Android 기기를 대상으로 `capture_screenshot`, `get_ui_tree`, `tap`, `swipe`, `type_text`, `launch_app`, `press_key`, `click_control`을 호출하여 화면 및 기기 데이터를 유출하고 기기 상태를 변경할 수 있었습니다. 이 문제는 버전 3.0.8에서 수정되었습니다.
CVE-2026-73296에 대한 비파괴적 보안 평가 도구로, 노출된 Mobile MCP HTTP 서버(포트 8020/8021)의 인증 경계를 점검하여 잠재적인 무단 Android 기기 접근을 탐지합니다.
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.