FlawOpen

flawopen.com/AI Security/microsoft-copilot-cosnitch-cve-2026-24301-autorun-information-disclosure

● CVE-2026-24301 · CVSS 8.8[3] · Высокий
Исследования · FlawOpen

CoSnitch: CVE-2026-24301 в Microsoft Copilot

По данным Varonis, специально подготовленная ссылка Copilot Personal могла автоматически запустить prompt и раскрыть подключённые данные. Microsoft сообщила, что корпоративные клиенты не затронуты; 18 августа 2026 года исправление развернули на стороне сервиса.[2], [3], [4], [5]

Вектор CVSSCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H[3]
💡 Простыми словами (ELI5)

Представьте сотрудника приёмной, который обычно читает записку посетителя и ждёт команды «отправить». Скрытый переключатель в записке заставляет его действовать сразу после открытия, а затем использовать разрешённый справочник и почту, чтобы передать сведения наружу. По сообщению Varonis, CoSnitch сочетала автоматический запуск prompt с доступом Copilot к подключённым данным и функцией загрузки веб-страниц. Ссылку всё равно нужно было нажать; описанная уязвимость убирала подтверждение после открытия страницы.[4], [5]

Ключевые понятия и термины

CVE-2026-24301
В записи Microsoft CVE описана уязвимость Copilot, позволяющая раскрывать информацию. Указаны CWE-77 и CVSS 3.1 8,8 — высокий уровень; приведённый вектор требует взаимодействия пользователя. По данным Varonis, описанная цепочка затрагивала Copilot Personal; Microsoft сообщила Dark Reading, что корпоративные клиенты не были затронуты. В записи CVE Microsoft указан Copilot Web, но точные версии и сборки публично не перечислены.[2], [3], [1], [4], [5]
CoSnitch
Название Varonis Threat Labs для описанной цепочки: URL-параметр prompt, автоматический запуск, запросы к подключённым приложениям и загрузка внешних URL. Эти механизмы описаны исследователями, а не подтверждены публикацией исходного кода Microsoft.[4], [5]
Prompt prefill and auto-run
По данным Varonis, параметр q в Copilot предварительно заполнял prompt, а недокументированный параметр autorun запускал его при загрузке страницы. Нажатие на подготовленную ссылку оставалось необходимым условием.[4]
Connected-app authorization
Помощник может запрашивать данные, к которым пользователь подключил его и выдал доступ. Описанный эффект CoSnitch зависел от уже предоставленных Copilot разрешений; уязвимость не взламывала Gmail, Google Drive или OAuth.[4], [5]
CWE-77: Command Injection
Запись CNA Microsoft классифицирует проблему как ненадлежащую нейтрализацию специальных элементов в команде. В открытых записях нет реализации Microsoft или исходного diff исправления, поэтому статья не делает выводов о внутренней границе команды.[2], [3]

Связи со стандартами

Пошаговый сценарий атаки

Шаг 1

Пользователь нажимает подготовленную ссылку Copilot

По данным Varonis, ссылка вела на Copilot Personal и сочетала параметр предварительного заполнения prompt с недокументированным параметром автозапуска. Необходимость нажатия соответствует вектору CVE, который требует взаимодействия пользователя. В записи Microsoft продуктом указан Copilot Web, но подробный перечень сборок или версий не приводится.[4], [2], [5]

Шаг 2

Prompt запускается без второго подтверждения

Согласно Varonis, автозапуск выполнял предварительно заполненный prompt при загрузке Copilot. В отчёте сказано, что после открытия ссылки пользователю не требовалось нажимать Enter. В уведомлении Microsoft нет исходного кода или подробных условий запуска.[4], [5]

Шаг 3

Copilot запрашивает данные, уже подключённые к учётной записи

По словам Varonis, демонстрация использовала разрешения подключённых приложений Copilot для получения выбранных сведений из почты, календаря или файлов. Это описанный исследователями путь воздействия; он не означает, что у каждой учётной записи были включены все коннекторы или что сами коннекторы были взломаны.[4], [5]

Шаг 4

Загрузка веб-ресурса создаёт канал вывода

Varonis сообщает, что prompt мог поручить Copilot загрузить внешний URL с полученными данными. Статья не воспроизводит активные URL, строки запросов или данные для эксфильтрации из отчёта. На момент раскрытия Varonis заявляла, что не обнаружила эксплуатацию в реальных атаках.[4]

Шаг 5

Microsoft исправляет размещённый сервис

Varonis сообщает, что Microsoft выпустила исправления 18 августа 2026 года и действия клиентов не требовались. Запись CVE Microsoft подтверждает классификацию и оценку, но не описывает защитную меру. Это исправление на стороне сервиса, а не клиентский пакет или версия для установки.[4], [5], [1]

Исходный код: Уязвимый vs Защищённый вариант

Microsoft не публиковала уязвимый исходный код или diff исправления в цитируемых записях. Эта ограниченная модель запускает выполнение только через доверенное событие нажатия видимой кнопки; текст из URL может заполнить предварительный просмотр, но не запустить выполнение. В рабочей системе авторизация также должна проверяться на границе инструмента. Это не реконструкция внутреннего устройства Copilot и не описание точного исправления Microsoft.[4], [3]

УЯЗВИМАЯ РЕАЛИЗАЦИЯ
// АБСТРАКТНАЯ МОДЕЛЬ РИСКА — это не исходный код Microsoft
function onCopilotPageLoad(url, assistant) {
  const prompt = url.searchParams.get('q');
  if (prompt && url.searchParams.get('autorun') === '1') {
    return assistant.execute(prompt);
  }
  return assistant.showPrompt(prompt);
}
БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
// БЕЗОПАСНАЯ МОДЕЛЬ ПРОЕКТИРОВАНИЯ — это не патч Microsoft
function onCopilotPageLoad(url, assistant, render, executeButton) {
  const prompt = url.searchParams.get('q') ?? '';
  // Данные URL могут заполнить предварительный просмотр, но не могут разрешать действие.
  render.showPromptPreview(prompt);
  executeButton.addEventListener('click', (event) => {
    if (!event.isTrusted) return;
    // До этого вызова доходит только доверенное нажатие видимой кнопки запуска.
    assistant.execute(prompt);
  });
}

Чек-лист по защите системы для инженеров

Источники

← AI Security Directory →