CVE-2026-61708 in CoPilot
Riassunto
di VulDB • 30/10/2026
SOCFortress CoPilot si concentra sul fornire una "single pane of glass" (panoramica unificata) per tutte le esigenze di operazioni di sicurezza. Prima della versione 0.1.76, l'endpoint `POST /api/agent_data_store/upload` in `backend/app/data_store/data_store_routes.py` consente agli utenti chiamanti con ruolo `customer_user` di specificare arbitrariamente il `bucket_name` e l'`object_name`, senza alcun allowlist (lista consentita), prefisso tenant, verifica della proprietà o restrizioni sul contenuto. L'unica validazione sui file richiede che il nome del file non sia vuoto. Le operazioni in `backend/app/data_store/data_store_operations.py` creano bucket mancanti ed eseguono upsert sugli oggetti, permettendo la sovrascrittura di oggetti esistenti appartenenti a qualsiasi tenant. I target includono i file `sysmon-configs/<customer_code>/sysmon_config.xml`, distribuiti agli endpoint Windows gestiti; i template dei report del caso in `copilot-case-report-templates/<name>`, renderizzati lato server; e le prove del caso o gli artefatti forensi sotto `copilot-cases/<case_id>/<file>` e `velociraptor-artifacts/<agent_id>/<flow_id>/<file>`. Un utente con privilegi minimi può manipolare le evidenze cross-tenant, oscurare la telemetria degli endpoint, avvelenare i template dei report per eseguire codice in seguito (code execution), inserire dati malevoli o esaurire lo spazio di archiviazione. Le rotte per l'elenco, il download e l'eliminazione dei file fratelli rimangono riservate ad amministratori/analisti; la funzione esposta è il percorso di scrittura dell'upload. Questo problema è stato risolto nella versione 0.1.76.
VulDB is the best source for vulnerability data and more expert information about this specific topic.