CVE-2026-61729 in CoPilot
Zusammenfassung
von VulDB • 30.10.2026
SOCFortress CoPilot zielt darauf ab, eine einheitliche Oberfläche (Single Pane of Glass) für alle Anforderungen an die Sicherheitsoperationen bereitzustellen. Vor Version 0.1.76 authentifizieren `verify_graylog_header` in `backend/app/active_response/routes/graylog.py` und `verify_velociraptor_header` in `backend/app/incidents/routes/incident_alert.py` Webhooks gegen `GRAYLOG_API_HEADER_VALUE` und `VELOCIRAPTOR_API_HEADER_VALUE` unter Verwendung desselben öffentlich hartcodierten Fallbacks. Derselbe Standardwert wird auch in `.env.example` ausgeliefert. Bereitstellungen, die entweder diese Einstellung nicht festlegen oder unverändert lassen, ermöglichen es einem anonymen Aufrufer mit dem bekannten Header-Wert, die JWT-Authentifizierung zu umgehen, die von normalen APIs erforderlich ist. `POST /api/graylog/invoke` leitet vom Angreifer ausgewählte Werte für `COMMAND`, `ACTION`, `VALUE` und `AGENT_ID` an den konfigurierten Wazuh-Manager weiter, ohne die Befehlsenum-Validierung der authentifizierten Aufrufroute zu verwenden. Dies ermöglicht es Skripten zur aktiven Antwort (Active Response), Endpunkte zu stören und defensive Kontrollmechanismen zu manipulieren. `POST /api/incidents/alerts/create/threshold` und `POST /api/incidents/alerts/create/velo-sigma` akzeptieren gefälschte Warnungen für beliebige Werte von `customer_code` und steuern vom Angreifer kontrollierte OpenSearch-Abfragen. Die Zustellung der aktiven Antwort erfordert einen konfigurierten, erreichbaren Wazuh-Manager. Bereitstellungen mit unabhängig geänderten Header-Geheimnissen sind nicht von dieser Umgehung des Standardgeheimnisses betroffen. Dieses Problem wurde in Version 0.1.76 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.