FlawOpen

flawopen.com/AI Security/microsoft-copilot-cosnitch-cve-2026-24301-autorun-information-disclosure

● CVE-2026-24301 · CVSS 8.8[3] · Alta
Pesquisa · FlawOpen

CoSnitch: CVE-2026-24301 no Microsoft Copilot

Segundo a Varonis, um link preparado do Copilot Personal podia executar um prompt e expor dados conectados. A Microsoft informou que clientes corporativos não foram afetados; a correção no serviço foi implantada em 18 de agosto de 2026.[2], [3], [4], [5]

Vetor CVSSCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H[3]
💡 Explicação em Linguagem Simples (ELI5)

Imagine uma recepcionista que normalmente lê o bilhete de um visitante e espera que ele diga “envie”. Um botão oculto no bilhete faz a recepcionista agir assim que ele é aberto e usar o diretório e o serviço de correio autorizados para enviar informações para fora. A Varonis afirma que o CoSnitch combinou esse tipo de execução automática de prompt com o acesso do Copilot a dados conectados e sua função de buscar páginas. Ainda era preciso clicar no link; a falha relatada eliminava a confirmação depois que a página abria.[4], [5]

Conceitos Centrais e Termos

CVE-2026-24301
O registro CVE da Microsoft descreve uma vulnerabilidade de divulgação de informações no Copilot. O registro atribui CWE-77 e CVSS 3.1 8,8, severidade Alta; o vetor citado exige interação do usuário. Segundo a Varonis, a cadeia relatada afetava o Copilot Personal; a Microsoft informou ao Dark Reading que clientes corporativos não foram afetados. O registro CVE da Microsoft identifica o produto como Copilot Web, mas os registros públicos não detalham as versões/builds afetados.[2], [3], [1], [4], [5]
CoSnitch
Nome dado pela Varonis Threat Labs à cadeia relatada, envolvendo parâmetro de URL para prompt, execução automática, consultas a aplicativos conectados e busca de URLs externas. Esse relato dos mecanismos é dos pesquisadores, não uma divulgação do código-fonte da Microsoft.[4], [5]
Prompt prefill and auto-run
Segundo a Varonis, o parâmetro q do Copilot preenchia um prompt e um parâmetro autorun não documentado fazia o prompt executar quando a página carregava. Ainda era necessário clicar no link preparado.[4]
Connected-app authorization
Um assistente pode consultar dados que o usuário conectou e autorizou. O impacto relatado do CoSnitch dependia do acesso já concedido ao Copilot; não houve quebra do Gmail, Google Drive ou OAuth.[4], [5]
CWE-77: Command Injection
O registro CNA da Microsoft classifica o problema como neutralização inadequada de elementos especiais usados em um comando. Os registros públicos não mostram a implementação da Microsoft nem um patch de código; portanto, este artigo não presume qual era o limite interno do comando.[2], [3]

Mapeamentos de frameworks

Fluxo de Ataque Passo a Paso

Passo 1

O usuário clica em um link preparado do Copilot

A Varonis relata que o link tinha como alvo o Copilot Personal e combinava um parâmetro para preencher o prompt com outro, não documentado, para execução automática. O clique necessário corresponde ao vetor CVE que exige interação do usuário. O registro Microsoft identifica o produto afetado como Copilot Web; o registro público não fornece detalhes de versão/build.[4], [2], [5]

Passo 2

O prompt executa sem uma segunda confirmação

Segundo a Varonis, o comportamento de execução automática fazia o prompt preenchido executar quando o Copilot carregava. O relato diz que o usuário não precisava pressionar Enter depois de abrir o link. O comunicado da Microsoft não publica o código subjacente nem as condições detalhadas do gatilho.[4], [5]

Passo 3

O Copilot consulta dados já conectados à conta

A Varonis diz que sua demonstração usou as permissões de aplicativos conectados ao Copilot para recuperar informações selecionadas de e-mail, calendário ou arquivos. Esse caminho de impacto foi relatado pelos pesquisadores; não significa que toda conta tinha todos os conectores habilitados nem que os próprios conectores foram comprometidos.[4], [5]

Passo 4

A busca na web fornece um caminho de saída

A Varonis relata que um prompt podia orientar o Copilot a buscar uma URL externa contendo dados recuperados. O artigo não reproduz URLs ativas, strings de solicitação ou cargas de exfiltração do relatório. Na divulgação, a Varonis disse não ter evidências de exploração no mundo real.[4]

Passo 5

A Microsoft implanta uma correção no serviço hospedado

A Varonis afirma que a Microsoft implantou correções em 18 de agosto de 2026 e que nenhuma ação dos clientes era necessária. O registro CVE da Microsoft confirma a classificação e a pontuação, mas não descreve a mitigação. Trate isso como correção no serviço, não como pacote cliente ou versão para instalar.[4], [5], [1]

Código-Fonte: Vulnerável vs. Seguro

A Microsoft não publicou o código-fonte afetado nem um diff do patch nos registros citados. Este modelo limitado permite a execução somente pelo evento de clique confiável de um botão visível; o texto controlado pela URL pode preencher uma prévia, mas não iniciar a execução. Um sistema de produção também deve impor autorização no limite da ferramenta. Isto não reconstrói os componentes internos do Copilot nem afirma descrever a correção exata da Microsoft.[4], [3]

IMPLEMENTAÇÃO VULNERÁVEL
// MODELO ABSTRATO DE RISCO — não é código-fonte da Microsoft
function onCopilotPageLoad(url, assistant) {
  const prompt = url.searchParams.get('q');
  if (prompt && url.searchParams.get('autorun') === '1') {
    return assistant.execute(prompt);
  }
  return assistant.showPrompt(prompt);
}
PATCH SEGURO E ROBUSTO
// MODELO DE DESIGN SEGURO — não é o patch da Microsoft
function onCopilotPageLoad(url, assistant, render, executeButton) {
  const prompt = url.searchParams.get('q') ?? '';
  // A entrada da URL pode preencher uma prévia, mas nunca autorizar uma ação.
  render.showPromptPreview(prompt);
  executeButton.addEventListener('click', (event) => {
    if (!event.isTrusted) return;
    // Somente um clique confiável no botão visível de execução chega a esta chamada.
    assistant.execute(prompt);
  });
}

Lista de Verificação de Segurança para Engenharia

Fontes

← AI Security Directory →