CVE-2026-61729 in CoPilot
Tóm tắt
Bởi VulDB • 30/10/2026
SOCFortress CoPilot tập trung vào việc cung cấp một giao diện quản lý thống nhất (single pane of glass) cho mọi nhu cầu về hoạt động bảo mật của bạn. Trước phiên bản 0.1.76, các hàm `verify_graylog_header` trong `backend/app/active_response/routes/graylog.py` và `verify_velociraptor_header` trong `backend/app/incidents/routes/incident_alert.py` xác thực webhook dựa trên giá trị header `GRAYLOG_API_HEADER_VALUE` và `VELOCIRAPTOR_API_HEADER_VALUE` bằng cách sử dụng cùng một cơ chế dự phòng (fallback) được mã hóa cứng và công khai. Giá mặc định này cũng có trong file `.env.example`. Các triển khai để cài đặt không xác định hoặc không thay đổi các giá trị cấu hình này cho phép người gọi ẩn danh, với header đã biết trước, vượt qua xác thực JWT yêu cầu bởi các API thông thường.
Hàm `POST /api/graylog/invoke` chuyển tiếp các tham số `COMMAND`, `ACTION`, `VALUE` và `AGENT_ID` do kẻ tấn công chọn đến bộ quản lý Wazuh được cấu hình mà không có bước kiểm tra enum lệnh (command-enum validation) như trong route gọi đã xác thực, cho phép các script active-response làm gián đoạn các điểm cuối (endpoints) và thao túng các biện pháp phòng thủ. Các endpoint `POST /api/incidents/alerts/create/threshold` và `POST /api/incidents/alerts/create/velo-sigma` chấp nhận các cảnh báo giả mạo với giá trị `customer_code` tùy ý và kích hoạt các truy vấn OpenSearch do kẻ tấn công kiểm soát. Việc phân phối active-response yêu cầu một bộ quản lý Wazuh đã được cấu hình và có thể tiếp cận được. Các triển khai thay đổi độc lập các bí mật header không chịu ảnh hưởng của việc bỏ qua xác thực dựa trên mặc định này. Vấn đề này đã được sửa chữa trong phiên bản 0.1.76.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.