FlawOpen

flawopen.com/AI Security/microsoft-copilot-cosnitch-cve-2026-24301-autorun-information-disclosure

● CVE-2026-24301 · CVSS 8.8[3] · Alta
Investigación · FlawOpen

CoSnitch: CVE-2026-24301 en Microsoft Copilot

Según Varonis, un enlace manipulado de Copilot Personal podía ejecutar un prompt y exponer datos conectados. Microsoft indicó que los clientes empresariales no estaban afectados; desplegó una corrección en el servicio el 18 de agosto de 2026.[2], [3], [4], [5]

Vector CVSSCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H[3]
💡 Explicación en Lenguaje Sencillo (ELI5)

Imagina a una recepcionista que normalmente lee la nota de un visitante y espera a que diga «envíala». Un interruptor oculto en la nota hace que actúe en cuanto se abre y use el directorio y el servicio postal autorizados para enviar información fuera. Varonis afirma que CoSnitch combinó esa ejecución automática del prompt con el acceso de Copilot a datos conectados y su función de consultar páginas web. Aún era necesario hacer clic en el enlace; el fallo descrito eliminaba la confirmación posterior a la apertura de la página.[4], [5]

Conceptos Clave y Términos

CVE-2026-24301
El registro CVE de Microsoft describe una vulnerabilidad de divulgación de información en Copilot. Asigna CWE-77 y CVSS 3.1 de 8,8, nivel Alto; el vector citado requiere interacción del usuario. Según Varonis, la cadena descrita afectaba a Copilot Personal; Microsoft dijo a Dark Reading que los clientes empresariales no estaban afectados. El registro CVE de Microsoft identifica el producto como Copilot Web, pero los registros públicos no detallan las versiones o compilaciones afectadas.[2], [3], [1], [4], [5]
CoSnitch
Nombre de Varonis Threat Labs para la cadena descrita, que incluye un parámetro URL para el prompt, ejecución automática, consultas a aplicaciones conectadas y obtención de URL externas. Esta explicación procede de los investigadores, no de una publicación del código fuente de Microsoft.[4], [5]
Prompt prefill and auto-run
Varonis informa que el parámetro q de Copilot podía rellenar un prompt y que un parámetro autorun no documentado lo ejecutaba al cargar la página. Seguiría siendo necesario hacer clic en el enlace manipulado.[4]
Connected-app authorization
Un asistente puede consultar los datos que el usuario conectó y autorizó. El impacto descrito de CoSnitch dependía del acceso ya concedido a Copilot; no vulneró Gmail, Google Drive ni OAuth.[4], [5]
CWE-77: Command Injection
El registro CNA de Microsoft clasifica el problema como neutralización incorrecta de elementos especiales usados en un comando. Los registros públicos no revelan la implementación de Microsoft ni un parche de código, por lo que este artículo no deduce el límite interno del comando.[2], [3]

Mapeos de marcos

Flujo de Ataque Paso a Paso

Paso 1

El usuario hace clic en un enlace de Copilot manipulado

Varonis informa que el enlace apuntaba a Copilot Personal y combinaba un parámetro para rellenar el prompt con otro parámetro de ejecución automática no documentado. El clic requerido concuerda con el vector de la CVE, que exige interacción del usuario. El registro de Microsoft identifica Copilot Web como producto afectado, pero no detalla versiones ni compilaciones.[4], [2], [5]

Paso 2

El prompt se ejecuta sin una segunda confirmación

Según Varonis, la ejecución automática hacía que el prompt rellenado se ejecutara al cargar Copilot. El informe indica que el usuario no tenía que pulsar Enter después de abrir el enlace. El aviso de Microsoft no publica el código ni las condiciones detalladas del disparador.[4], [5]

Paso 3

Copilot consulta datos ya conectados a la cuenta

Varonis dice que su demostración usó los permisos de aplicaciones conectadas a Copilot para recuperar cierta información de correo, calendario o archivos. Este camino de impacto lo describen los investigadores; no significa que todas las cuentas tuvieran todos los conectores habilitados ni que estos fueran vulnerados.[4], [5]

Paso 4

La función de consulta web ofrece una vía de salida

Varonis informa que un prompt podía pedir a Copilot que consultara una URL externa que contenía datos recuperados. El artículo no reproduce URL activas, cadenas de solicitud ni cargas de exfiltración del informe. En la divulgación, Varonis dijo no tener pruebas de explotación en la práctica.[4]

Paso 5

Microsoft despliega una corrección en el servicio alojado

Varonis afirma que Microsoft desplegó correcciones el 18 de agosto de 2026 y que los clientes no tenían que hacer nada. El registro CVE de Microsoft confirma la clasificación y la puntuación, pero no explica la mitigación. Es una corrección del servicio, no un paquete cliente o versión que se deba instalar.[4], [5], [1]

Código Fuente: Vulnerable vs. Seguro

Microsoft no ha publicado el código afectado ni un diff del parche en los registros citados. Este modelo acotado solo permite ejecutar mediante el evento de clic confiable de un botón visible; el texto controlado por la URL puede completar una vista previa, pero no iniciar la ejecución. Un sistema de producción también debe aplicar autorización en el límite de la herramienta. Esto no reconstruye el interior de Copilot ni afirma describir la corrección exacta de Microsoft.[4], [3]

IMPLEMENTACIÓN VULNERABLE
// MODELO ABSTRACTO DE RIESGO — no es código fuente de Microsoft
function onCopilotPageLoad(url, assistant) {
  const prompt = url.searchParams.get('q');
  if (prompt && url.searchParams.get('autorun') === '1') {
    return assistant.execute(prompt);
  }
  return assistant.showPrompt(prompt);
}
PARCHE SEGURO Y ROBUSTO
// MODELO DE DISEÑO SEGURO — no es un parche de Microsoft
function onCopilotPageLoad(url, assistant, render, executeButton) {
  const prompt = url.searchParams.get('q') ?? '';
  // La entrada de la URL puede llenar una vista previa, pero nunca autorizar una acción.
  render.showPromptPreview(prompt);
  executeButton.addEventListener('click', (event) => {
    if (!event.isTrusted) return;
    // Solo un clic confiable en el botón visible de ejecución llega a esta llamada.
    assistant.execute(prompt);
  });
}

Lista de Verificación de Seguridad para Ingeniería

Fuentes

← AI Security Directory →