Odkrycie krytycznej luki w Microsoft Copilot
Zespół ekspertów ds. cyberbezpieczeństwa odkrył poważną lukę w Microsoft Copilot Studio. Luka, oznaczona jako CVE-2024-38206, uzyskała wysoki wynik CVSS – 8,5. Wykorzystanie jej mogło umożliwić cyberprzestępcom dostęp do krytycznych danych, które powinny być niedostępne dla nieautoryzowanych osób.
Głównym zarzewiem problemu okazał się atak fałszowania żądań po stronie serwera (SSRF). Tego typu cyberatak pozwala na manipulację żądaniami HTTP, które Copilot Studio wysyła do zewnętrznych źródeł.
Dzięki temu cyberprzestępcy mogli ominąć zabezpieczenia i uzyskać dostęp do poufnych zasobów w chmurze, takich jak usługa metadanych instancji (IMDS) oraz wewnętrzne bazy danych Microsoftu, w tym Cosmos DB.
Fałszowanie żądań po stronie serwera
Atak fałszowania żądań po stronie serwera (SSRF) polega na wykorzystaniu możliwości systemu do wykonywania żądań HTTP na rzecz cyberprzestępców. W przypadku Microsoft Copilot Studio, luka ta umożliwiała atakującym manipulację nagłówkami HTTP i stosowanie technik przekierowania, co pozwalało na obejście istniejących zabezpieczeń.
Według badacza Evana Granta, który odkrył ową lukę – cyberprzestępcy mogli uzyskać dostęp do wewnętrznej infrastruktury Microsoftu, w tym do usługi metadanych instancji oraz bazy danych Cosmos DB. Dzięki zdobyciu tokenów dostępu możliwe było nie tylko odczytywanie danych, ale również ich modyfikacja.
Zagrożenie dla wielu użytkowników
Tenable Research – organizacja zajmująca się badaniami nad cyberbezpieczeństwem – potwierdziła, że problem dotyczył wielu użytkowników Copilot Studio. Współdzielona infrastruktura mogła stać się celem ataków cyberprzestępców.
Chociaż dane użytkowników nie były natychmiast dostępne, potencjalne zagrożenie było realne.
Reakcja Microsoftu
Microsoft szybko zareagował na odkrycie luki. Gigant technologiczny zapewnił, że użytkownicy Copilot Studio nie muszą podejmować żadnych dodatkowych działań, ponieważ problem został całkowicie zneutralizowany.
Eksperci od bezpieczeństwa podkreślają, że choć Microsoft poradził sobie z luką, użytkownicy powinni zawsze być świadomi potencjalnych zagrożeń i dbać o swoje cyberbezpieczeństwo.
Regularne aktualizacje oprogramowania, silne hasła oraz świadomość cyberzagrożeń to kluczowe elementy ochrony przed atakami.
Cyberprzestępcy bowiem nieustannie poszukują nowych sposobów na wykorzystanie luk w zabezpieczeniach. Dlatego tak istotne jest, aby firmy i użytkownicy byli na to przygotowani.
