SOCFortress CoPilot vor Version 0.1.77 übergibt den hochgeladenen Dateinamen der ScoutSuite-GCP-Report-Route ohne Bereinigung an den Dateischreiber. Ein authentifizierter Admin oder Analyst kann über Path Traversal im Dateinamen den hochgeladenen JSON-Inhalt ausserhalb des Report-Verzeichnisses schreiben. Das Backend läuft als root, weshalb Host-Dateien überschrieben und der Betrieb gestört werden können; die beschriebene Auswirkung belegt keine direkte Codeausführung, obwohl das Advisory als RCE betitelt ist. CNA und NVD bewerten die CVE mit 10.0 (CVSS 3.1), VulDB mit 9.9.
SOCFortress · CoPilot
CoPilot stellt ScoutSuite-Berichtsdateien über einen nicht authentifizierten statischen Web-Mount bereit, sodass jeder, der den Host erreichen kann, IAM-Principals, Ressourcenlisten und Fehlkonfigurationen für AWS, Azure und GCP einsehen kann. Bei einem GCP-Scan wurde der hochgeladene Service-Account-Schlüssel ebenfalls im web-ausgelieferten Verzeichnis abgelegt und blieb bis zum Ende des Scans lesbar, was Cloud-Zugriff mit den Berechtigungen des Service-Accounts ermöglichen kann. Für den Angriff sind weder Berechtigungen noch Benutzerinteraktion nötig.
SOCFortress · CoPilot
SOCFortress CoPilot vor 0.1.76 enthält einen öffentlich bekannten Standardwert für die Header-Geheimnisse der Graylog- und Velociraptor-Webhooks. Wenn eine Installation diesen Standardwert beibehält, kann ein anonymer Angreifer den bekannten Header senden und die JWT-Authentifizierung der Webhook-Routen umgehen. Der Angreifer kann danach Active-Response-Befehle auslösen, die an den Wazuh-Manager weitergeleitet werden, was Endpunkte stören und Abwehrmassnahmen manipulieren kann, und kann gefälschte Alarme für beliebige Kundencodes einschleusen. Installationen mit geänderten Header-Geheimnissen sind vom Standardwert-Umgehungsproblem nicht betroffen.
SOCFortress · CoPilot
SOCFortress CoPilot stellt vom Benutzer eingegebene Alarmkommentare sowie SOC-Fall-, Asset- und Health-Check-Felder im Portal als rohes HTML dar. Ein Portalbenutzer, einschliesslich eines customer_user, kann Skriptcode speichern, der im Browser eines anderen Benutzers ausgeführt wird, der das betroffene Element ansieht, etwa ein Analyst oder ein Administrator. Laut CVE-Beschreibung könnten gestohlene Token eine Kontoübernahme und mandantenübergreifenden Zugriff ermöglichen; dieser Token-Teil wird durch die Commit-Auszüge nicht bestätigt. Der CNA stuft die Schwachstelle mit CVSS 3.1 9.9 (Kritisch) ein.
SOCFortress · CoPilot
