CVE-2026-61729 in CoPilot
要約
〜によって VulDB • 2026年10月30日
SOCFortress CoPilotは、セキュリティ運用のすべてのニーズに対して単一の管理画面（single pane of glass）を提供することに重点を置いています。バージョン 0.1.76 より前では、`backend/app/active_response/routes/graylog.py` の `verify_graylog_header` および `backend/app/incidents/routes/incident_alert.py` の `verify_velociraptor_header` は、Webhook を認証する際に、同じく公開されたハードコード済みのフォールバック値である `GRAYLOG_API_HEADER_VALUE` と `VELOCIRAPTOR_API_HEADER_VALUE` を使用していました。このデフォルト設定は `.env.example` にも含まれています。これらのいずれかの設定が未設定または変更されていない場合、既知のヘッダー値を持つ匿名呼び出し元により、通常 API で要求される JWT 認証を回避できます。
`POST /api/graylog/invoke` は、攻撃者が選択した `COMMAND`、`ACTION`、`VALUE`、および `AGENT_ID` を構成済みの Wazuh マネージャーに転送しますが、これは認証済み呼び出しルートで実施されるコマンド列挙検証を伴いません。これにより、アクティブレスポンススクリプトがエンドポイントを妨害し、防御制御を操作することが可能になります。
`POST /api/incidents/alerts/create/threshold` および `POST /api/incidents/alerts/create/velo-sigma` は、任意の `customer_code` 値に対して偽造アラートを受け入れ、攻撃者が制御する OpenSearch クエリを実行します。アクティブレスポンスの実行には、構成済みで到達可能な Wazuh マネージャーが必要です。ヘッダーシークレットを個別に変更したデプロイメントは、このデフォルトシークレットの回避対象ではありません。
本問題はバージョン 0.1.76 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.