AutoJack: Yeni Bir Sızıntı Zinciri ve Tehlikeleri
Microsoft araştırmacıları, AI tarayıcı ajansını uzaktan kod yürütme için bir taşıyıcı haline getiren AutoJack adlı bir exploit zincirini detaylandırdı. Bu durum, hem kullanıcıların hem de sistemlerin güvenliğini tehdit etmektedir.
Saldırı Nasıl Çalışıyor?
AutoJack, Model Context Protocol (MCP) WebSocket yüzeyindeki üç zayıflığı bir araya getirir:
Güvenilen localhost: Socket, kötü niyetli bir siteye yönlendirilmiş normal bir tarayıcıyı engellemek için localhost’u güvenilir olarak kabul eder. Ancak, aynı makinede çalışan bir tarayıcı ajansı için localhost kimliği geçerlidir, bu nedenle yüklenecek her şey bu kimlikten yararlanır.
Kimlik doğrulama eksikliği: Kimlik doğrulama middleware’i MCP yollarını atlar; zira handler’ın kendisinin token’ları doğrulaması gerektiği varsayılmıştır. Ancak bu hiçbir zaman yapılmamıştır, dolayısıyla socket, yapılandırılmış kimlik doğrulama moduna bakmaksızın kimlik doğrulaması yapılmamış bağlantıları kabul eder.
Komut yürütme: Endpoint, bir istek parametresinden doğrudan bir komutu alır ve çalıştırır; hangi çalıştırılabilir dosyanın başlatılacağına dair bir izin listesi yoktur.
Bir internet sayfasının, yerel bir ajans tarafından render edilmesi durumunda, saldırganın seçtiği bir komutu AutoGen Studio‘nun çalıştığı hesap altında çalıştırması mümkündür.
Etkilenen Sistemler
Bu zayıflık, AutoGen Studio‘nun açık kaynak prototipleme arayüzünde bulunmaktadır. CVE-2026-26030 ve CVE-2026-25592 numaralı zayıflıklar, Microsoft’un başka araştırmalarında benzer şekilde ortaya çıkmıştır.
- Versiyon Numaraları:
- Güvenli sürüm: 0.4.2.2
- Etkilenen sürümler: 0.4.3.dev1 ve 0.4.3.dev2
Çözüm ve Korunma
Microsoft, 0.4.2.2 sürümünün MCP yolu içermediğini belirtmiştir, bu nedenle bu sürümü kullananlar etkilenmemiştir. Ancak, eğer bir pre-release sürümü yüklediyseniz, zayıf handler’a maruz kalıyorsunuz ve düzeltme içeren bir PyPI yapılandırması mevcut değil:
- Yapmanız Gerekenler:
- GitHub’dan commit b047730 veya sonrasını çekin.
- AutoGen Studio’yu, güvenilir içerik ile etkileşim halindeki bir tarayıcı veya kod yürütme ajansı ile aynı makinede çalıştırmayın. Bu saldırı zinciri, her iki ajan aynı localhost’u paylaştığında çalışır.
- Eğer aynı anda çalışmak zorundaysanız, onları ayrı konteynerlarda veya sanal makinelerde izolasyona tabi tutun ve AutoGen Studio’yu düşük ayrıcalıklı bir hesap altında çalıştırın.
Sonuç
AutoGen Studio’daki zayıflıklar kaynak üzerinde düzeltilmiştir. Bununla birlikte, benzer yapıların diğer ajans çerçevelerinde de görüleceği düşünülmektedir. Güvenli bir altyapı için, kontrol düzlemini doğrulamak, işlem yürütmeyi bir izin listesi arkasında tutmak ve ajansa geliştiricinin kendi oturumunu kullanmayan bir kimlik vermek gereklidir.
