FlawOpen

flawopen.com/AI Security/microsoft-copilot-cosnitch-cve-2026-24301-autorun-information-disclosure

● CVE-2026-24301 · CVSS 8.8[3] · Hoch
Sicherheitsforschung · FlawOpen

CoSnitch: Copilot-CVE-2026-24301 und Datenabfluss

Laut Varonis konnte ein präparierter Copilot-Personal-Link einen Prompt ausführen und verbundene Daten offenlegen. Microsoft zufolge waren Unternehmenskunden nicht betroffen; am 18. August 2026 wurde eine serverseitige Korrektur bereitgestellt.[2], [3], [4], [5]

CVSS-VektorCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H[3]
💡 Einfache Erklärung (ELI5)

Stellen Sie sich eine Empfangskraft vor, die einen Besuchszettel normalerweise vorliest und auf das „Senden“-Signal wartet. Ein versteckter Schalter auf dem Zettel lässt sie sofort nach dem Öffnen handeln und das freigegebene Verzeichnis sowie den Postdienst nutzen, um Informationen nach außen zu senden. Laut Varonis verband CoSnitch eine solche automatische Prompt-Ausführung mit Copilots Zugriff auf verbundene Daten und seiner Webabruf-Funktion. Auf den Link musste weiterhin geklickt werden; der gemeldete Fehler entfernte die Bestätigung nach dem Laden der Seite.[4], [5]

Kernkonzepte & Begriffe

CVE-2026-24301
Der Microsoft-CVE-Eintrag beschreibt eine Informationspreisgabe-Schwachstelle in Copilot. Er nennt CWE-77 und CVSS 3.1 8,8, Schweregrad Hoch; der angegebene Vektor erfordert eine Benutzerinteraktion. Laut Varonis betraf die gemeldete Angriffskette Copilot Personal; Microsoft erklärte gegenüber Dark Reading, dass Unternehmenskunden nicht betroffen waren. Der Microsoft-CVE-Eintrag nennt Copilot Web, führt aber keine genauen betroffenen Produktversionen oder Builds auf.[2], [3], [1], [4], [5]
CoSnitch
Bezeichnung von Varonis Threat Labs für die gemeldete Kette aus Prompt-URL-Parameter, automatischer Ausführung, Abfragen verbundener Apps und Abrufen externer URLs. Diese Mechanik stammt aus dem Forscherbericht, nicht aus einer Offenlegung von Microsoft-Quellcode.[4], [5]
Prompt prefill and auto-run
Varonis berichtet, dass Copilots q-Parameter einen Prompt vorausfüllen konnte und ein undokumentierter autorun-Parameter ihn beim Laden der Seite ausführte. Ein Klick auf den präparierten Link blieb erforderlich.[4]
Connected-app authorization
Ein Assistent kann Daten abfragen, die der Nutzer verbunden und freigegeben hat. Die gemeldete Auswirkung von CoSnitch beruhte auf bereits erteiltem Copilot-Zugriff; Gmail, Google Drive oder OAuth selbst wurden nicht kompromittiert.[4], [5]
CWE-77: Command Injection
Der Microsoft-CNA-Eintrag ordnet das Problem als unzureichende Neutralisierung spezieller Elemente in einem Befehl ein. Öffentliche Einträge zeigen weder Microsofts Implementierung noch einen Quellcode-Patch; dieser Artikel leitet daher keine interne Befehlsgrenze ab.[2], [3]

Framework-Zuordnungen

Schritt-für-Schritt Angriffsablauf

Schritt 1

Ein Nutzer klickt auf einen präparierten Copilot-Link

Varonis berichtet, dass der Link auf Copilot Personal zielte und einen Prompt-Vorausfüllparameter mit einem undokumentierten Auto-Run-Parameter kombinierte. Der erforderliche Klick entspricht dem CVE-Vektor mit nötiger Benutzerinteraktion. Microsofts CVE-Eintrag nennt Copilot Web als betroffenes Produkt, aber keine detaillierten Builds oder Versionen.[4], [2], [5]

Schritt 2

Der Prompt läuft ohne zweite Bestätigung

Laut Varonis führte das Auto-Run-Verhalten den vorausgefüllten Prompt beim Laden von Copilot aus. Dem Bericht zufolge musste der Nutzer nach dem Öffnen des Links nicht Enter drücken. Microsofts Hinweis veröffentlicht weder den zugrunde liegenden Code noch genaue Auslösebedingungen.[4], [5]

Schritt 3

Copilot fragt bereits verbundene Kontodaten ab

Varonis zufolge nutzte die Demonstration die Berechtigungen verbundener Apps in Copilot, um ausgewählte E-Mail-, Kalender- oder Dateiinformationen abzurufen. Dies ist ein von Forschern berichteter Wirkungspfad; es bedeutet weder, dass jedes Konto alle Konnektoren aktiviert hatte, noch dass die Konnektoren selbst kompromittiert wurden.[4], [5]

Schritt 4

Der Webabruf eröffnet einen Ausgabepfad

Varonis berichtet, dass ein Prompt Copilot zum Abruf einer externen URL mit abgerufenen Daten anweisen konnte. Der Artikel reproduziert keine aktiven URLs, Request-Strings oder Exfiltrationsdaten aus dem Bericht. Bei der Offenlegung erklärte Varonis, keine Hinweise auf Ausnutzung in freier Wildbahn zu haben.[4]

Schritt 5

Microsoft stellt eine Korrektur für den gehosteten Dienst bereit

Varonis zufolge stellte Microsoft am 18. August 2026 Korrekturen bereit; Kunden mussten nichts unternehmen. Microsofts CVE-Eintrag bestätigt Einstufung und Bewertung, beschreibt jedoch keine Abhilfe. Es handelt sich um eine Dienstkorrektur, nicht um ein Clientpaket oder eine zu installierende Version.[4], [5], [1]

Quellcode: Verwundbar vs. Sicher

Microsoft hat in den zitierten Einträgen weder den betroffenen Quellcode noch einen Patch-Diff veröffentlicht. Dieses begrenzte Modell lässt die Ausführung nur über das vertrauenswürdige Klickereignis einer sichtbaren Schaltfläche zu; URL-gesteuerter Text darf eine Vorschau füllen, aber keine Ausführung auslösen. Ein Produktivsystem muss die Autorisierung zusätzlich an der Tool-Grenze durchsetzen. Das Modell rekonstruiert weder Copilot-Interna noch behauptet es, Microsofts exakte Korrektur darzustellen.[4], [3]

VERWUNDBARE IMPLEMENTIERUNG
// ABSTRAKTES RISIKOMODELL — kein Microsoft-Quellcode
function onCopilotPageLoad(url, assistant) {
  const prompt = url.searchParams.get('q');
  if (prompt && url.searchParams.get('autorun') === '1') {
    return assistant.execute(prompt);
  }
  return assistant.showPrompt(prompt);
}
GEHÄRTETER SICHERHEITS-PATCH
// SICHERES DESIGNMODELL — kein Microsoft-Patch
function onCopilotPageLoad(url, assistant, render, executeButton) {
  const prompt = url.searchParams.get('q') ?? '';
  // Eine URL-Eingabe darf eine Vorschau füllen, aber niemals eine Aktion autorisieren.
  render.showPromptPreview(prompt);
  executeButton.addEventListener('click', (event) => {
    if (!event.isTrusted) return;
    // Nur ein vertrauenswürdiger Klick auf die sichtbare Ausführen-Schaltfläche erreicht diesen Aufruf.
    assistant.execute(prompt);
  });
}

Checkliste für Engineering & Systemsicherheit

Quellen

← AI Security Directory →