Microsoft исправила критическую ошибку безопасности в Copilot Studio

Эксперты предупреждают, что в Microsoft Copilot Studio обнаружены уязвимости безопасности, которые могли позволить злоумышленникам украсть конфиденциальные данные из уязвимых конечных точек.

Microsoft исправила критическую ошибку безопасности в Copilot Studio. Фото: СС0

Исследователь по кибербезопасности Эван Грант из компании Tenable обнаружил и сообщил о бреши в безопасности, которая описывается как уязвимость раскрытия информации, возникающая в результате атаки с подделкой запросов на стороне сервера (SSRF). Она получила код CVE-2024-38206 с оценкой серьезности 8,5 из 10.

Copilot Studio — это комплексная диалоговая платформа искусственного интеллекта, которая позволяет пользователям создавать и настраивать помощников на базе искусственного интеллекта с помощью естественного языка или графического интерфейса.

Описывая уязвимость, Грант сказал, что она использует функцию Copilot , которая позволяет выполнять внешние веб-запросы.

Из сообщения Эванта Гранта:

«В сочетании с полезным обходом защиты SSRF мы использовали эту уязвимость, чтобы получить доступ к внутренней инфраструктуре Microsoft для Copilot Studio, включая службу метаданных экземпляров (IMDS) и внутренние экземпляры Cosmos DB.»

Проще говоря, Грант извлек метаданные экземпляра из сообщений чата Copilot и использовал их для захвата управляемых токенов доступа к удостоверениям. Они, в свою очередь, позволили ему получить доступ к другим внутренним ресурсам, а также к функциям чтения/записи на экземпляре Cosmos DB.

Аутентифицированный злоумышленник может обойти защиту Server-Side Request Forgery (SSRF) в Microsoft Copilot Studio, чтобы получить конфиденциальную информацию по сети, признали Microsoft.

Startpack подготовил список антивирусных продуктов, которые помогают защитить IT-активы компании от заражения зловредами. Список содержит продукты российских и зарубежных разработчиков. Помимо защиты от вирусов, решения позволяют хранить и управлять паролями, разворачивать антиспам-системы, проводить резервное копирование данных, защищать не только персональные компьютеры, но и серверы, а также локальные сети предприятия.

Статьи по теме