CVE-2026-61729 in CoPilot
요약
\~에 의해 VulDB • 2026. 10. 30.
SOCFortress CoPilot는 모든 보안 운영 요구사항을 위한 단일 관리 대시보드(단일 창) 제공에 중점을 둡니다. 버전 0.1.76 이전의 `backend/app/active_response/routes/graylog.py` 내 `verify_graylog_header` 및 `backend/app/incidents/routes/incident_alert.py` 내 `verify_velociraptor_header`는 웹훅을 검증할 때 공개적으로 하드코딩된 동일한 폴백 값인 `GRAYLOG_API_HEADER_VALUE`와 `VELOCIRAPTOR_API_HEADER_VALUE`를 사용합니다. 이 동일한 기본값은 `.env.example`에도 포함되어 있습니다. 이러한 설정 중 하나라도 미설정 또는 변경되지 않은 상태로 방치된 배포 환경에서는 알려진 헤더 값을 가진 익명 호출자가 일반 API에서 요구하는 JWT 인증을 우회할 수 있습니다. `POST /api/graylog/invoke`는 공격자가 선택한 `COMMAND`, `ACTION`, `VALUE` 및 `AGENT_ID`를 구성된 Wazuh 관리자에게 전달하며, 이는 인증된 호출 경로에서의 명령어 열거 검증(command-enum validation) 없이 수행되므로 활성 응답(active-response) 스크립트가 엔드포인트를 방해하고 방어적 컨트롤을 조작할 수 있습니다. 또한 `POST /api/incidents/alerts/create/threshold` 및 `POST /api/incidents/alerts/create/velo-sigma`는 임의의 `customer_code` 값을 가진 위조된 알림을 받아 공격자가 제어하는 OpenSearch 쿼리를 실행합니다. 활성 응답 전달에는 구성되고 접근 가능한 Wazuh 관리자가 필요합니다. 헤더 시크릿이 독립적으로 변경된 배포 환경은 이러한 기본 시크릿 우회 취약점의 영향을 받지 않습니다. 이 문제는 버전 0.1.76에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.