CVE-2026-61708 Escritura arbitraria entre inquilinos en el endpoint de carga de data-store de SOCFortress CoPilot
SOCFortress CoPilot, antes de 0.1.76, permite que llamadores customer_user elijan bucket_name y object_name en POST /api/agent_data_store/upload sin lista de permitidos, prefijo de inquilino, verificación de propiedad ni restricción de contenido. Esto permite sobrescribir objetos existentes de cualquier inquilino, incluidos sysmon-configs, plantillas de informes de casos, evidencias de casos y artefactos de Velociraptor. Se corrige en 0.1.76.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 34
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
socfortress CoPilot
< 0.1.76
Qué hacer
- Verificá si usás CoPilot y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadBaja
Descripción original
SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. Prior to 0.1.76, `POST /api/agent_data_store/upload` in `backend/app/data_store/data_store_routes.py` permits `customer_user` callers to choose `bucket_name` and `object_name` without an allowlist, tenant prefix, ownership check or content restriction. The only file check requires a nonempty filename. The operations in `backend/app/data_store/data_store_operations.py` create missing buckets and upsert objects, allowing existing objects belonging to any tenant to be overwritten. Targets include `sysmon-configs/<customer_code>/sysmon_config.xml` distributed to managed Windows endpoints, `copilot-case-report-templates/<name>` rendered server-side, and case evidence or forensic artifacts under `copilot-cases/<case_id>/<file>` and `velociraptor-artifacts/<agent_id>/<flow_id>/<file>`. A lowest-privilege user can tamper with cross-tenant evidence, blind endpoint telemetry, poison report templates for later code execution, plant data or exhaust storage. Sibling list, download and delete routes remain restricted to admin/analyst; the exposed operation is the upload write path. This issue is fixed in version 0.1.76.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.