One-click vulnerability in Microsoft 365 Copilot: email, file and MFA-code leakage (SearchLeak)

One-Click-ranjivost u Microsoft 365 Copilot: curenje mejlova, fajlova i MFA kodova (SearchLeak)

Kolege, želim da skrenem pažnju na incident u oblasti sajber bezbednosti. Istraživači Varonis otkrili su trostruki lanac grešaka u Copilot Enterprise Search — SearchLeak.

- Šta: lanac od jednog klika omogućava izvlačenje naslova mejlova, fajlova i MFA kodova bez akcije korisnika.
- Kako: injekcija u parametru q, trka sa sanitizacijom izlaza i zaobilaženje CSP putem server zahteva Bing — Bing služi kao proksi.
- Status: Microsoft je dodelio CVE-2026-42824 i ispravio problem na bekendu; objavljen PoC, nema zabeleženih eksploatacija.

Zašto je važno: ranjivost omogućava pristup svemu što Copilot indeksira preko Microsoft Graph, uključujući jednokratne kodove i dokumente.

Šta biste savetovali da preduzmete u Vašem okruženju?

#sajberbezbednost #Microsoft365 #Copilot #informacionaBezbednost