Los investigadores de ciberseguridad han descubierto una falla de seguridad cr\u00edtica que afecta a Copilot Studio de Microsoft y que podr\u00eda ser explotada para acceder a informaci\u00f3n confidencial.<\/p>\n
Identificada como CVE-2024-38206 (puntuaci\u00f3n CVSS: 8,5), la vulnerabilidad se ha descrito como un error de divulgaci\u00f3n de informaci\u00f3n que surge de una falsificaci\u00f3n de solicitud del lado del servidor (Fuerza de Reserva de Seguridad Social<\/a>) ataque.<\/p>\n “Un atacante autenticado puede eludir la protecci\u00f3n contra falsificaci\u00f3n de solicitudes del lado del servidor (SSRF) en Microsoft Copilot Studio para filtrar informaci\u00f3n confidencial a trav\u00e9s de una red”, dijo Microsoft. dicho<\/a> en un aviso publicado el 6 de agosto de 2024.<\/p>\n El gigante tecnol\u00f3gico dijo adem\u00e1s que la vulnerabilidad ha sido solucionada y que no requiere ninguna acci\u00f3n por parte del cliente.<\/p>\n Evan Grant, investigador de seguridad de Tenable, a quien se le atribuye el descubrimiento y el informe de la deficiencia, dijo que aprovecha la capacidad de Copilot de realizar solicitudes web externas.<\/p>\n “Combinado con una \u00fatil omisi\u00f3n de protecci\u00f3n SSRF, usamos esta falla para obtener acceso a la infraestructura interna de Microsoft para Copilot Studio, incluido el Servicio de metadatos de instancia (IMDS) y las instancias internas de Cosmos DB”, Grant dicho<\/a>.<\/p>\n En otras palabras, la t\u00e9cnica de ataque permiti\u00f3 recuperar los metadatos de la instancia en un mensaje de chat de Copilot y usarlos para obtener tokens de acceso a identidad administrada, que luego podr\u00edan usarse para acceder a otros recursos internos, incluido el acceso de lectura y escritura a una instancia de Cosmos DB.<\/p>\n La empresa de ciberseguridad se\u00f1al\u00f3 adem\u00e1s que si bien el enfoque no permite el acceso a informaci\u00f3n entre inquilinos, la infraestructura que impulsa el servicio Copilot Studio se comparte entre inquilinos, lo que potencialmente afecta a varios clientes cuando tienen acceso elevado a la infraestructura interna de Microsoft.<\/p>\n La revelaci\u00f3n se produce cuando Tenable detall\u00f3 dos fallas de seguridad ahora parcheadas en Azure Health Bot Service de Microsoft (CVE-2024-38109, puntuaci\u00f3n CVSS: 9.1), que, de ser explotadas, podr\u00edan permitir que un actor malicioso logre un movimiento lateral dentro de los entornos de los clientes y acceda a datos confidenciales de los pacientes.<\/p>\n Esto tambi\u00e9n sigue a un anuncio de Microsoft de que requerir\u00e1 que todos los clientes de Microsoft Azure tengan habilitada la autenticaci\u00f3n multifactor (MFA) en sus cuentas a partir de octubre de 2024 como parte de su Iniciativa de Futuro Seguro (SFI).<\/p>\n “Se requerir\u00e1 MFA para iniciar sesi\u00f3n en el portal de Azure, el centro de administraci\u00f3n de Microsoft Entra y el centro de administraci\u00f3n de Intune. La implementaci\u00f3n se implementar\u00e1 gradualmente en todos los usuarios en todo el mundo”, dijo Redmond dicho<\/a>.<\/p>\n “A principios de 2025, comenzar\u00e1 la aplicaci\u00f3n gradual de MFA en el inicio de sesi\u00f3n para Azure CLI, Azure PowerShell, la aplicaci\u00f3n m\u00f3vil de Azure y las herramientas de infraestructura como c\u00f3digo (IaC)”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Microsoft-corrige-vulnerabilidad-critica-de-Copilot-Studio-que-expone-datos.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n