Jimi Sebree et l’équipe Tenable Research ont découvert une vulnérabilité critique de divulgation d’informations dans Copilot Studio de Microsoft via une falsification de requête côté serveur (SSRF). Les chercheurs ont pu accéder à des informations potentiellement sensibles concernant les ressources internes, avec un impact potentiel sur l’ensemble des clients. Cette vulnérabilité est due à une mauvaise gestion des codes d’état de redirection pour les actions configurables par l’utilisateur dans Copilot Studio. Cette découverte fait suite à la découverte récente par l’équipe de Microsoft de failles dans le service Azure Health Bot, Azure Service Tags et de trois vulnérabilités dans le service Azure API Management.
« Dans le contexte des applications cloud, une cible commune est le service de métadonnées d’instance (IMDS) qui, en fonction de la plateforme en cloud, peut fournir des informations utiles et potentiellement sensibles à un attaquant. Dans ce cas, nous avons pu récupérer des jetons d’accès à l’identité gérée à partir de l’IMDS. Aucune information autre que l’utilisation de Copilot Studio n’a été nécessaire pour exploiter cette faille », explique Jimi Sebree, senior staff research engineer, Tenable. « Comme pour certaines des vulnérabilités précédentes découvertes par notre équipe de recherche, cette faille démontre que des erreurs peuvent être commises lorsque les entreprises se précipitent pour être les premières à lancer des produits dans un domaine nouveau ou en pleine expansion. »
Une vulnérabilité SSRF se produit lorsqu’un attaquant est en mesure d’influencer l’application pour qu’elle effectue des requêtes HTTP côté serveur vers des cibles inattendues ou d’une manière inattendue, par exemple en forçant une application sur un hôte distant à effectuer des requêtes vers un emplacement non prévu. Si un attaquant est en mesure de contrôler la cible de ces requêtes, il peut diriger la requête vers une ressource interne sensible à laquelle l’application côté serveur a accès, même si l’attaquant n’y a pas accès, révélant ainsi des informations potentiellement sensibles. Si ce problème avait été exploité par un acteur malveillant, il aurait pu accéder à l’infrastructure interne de Copilot Studio, qui est un environnement partagé entre les clients. Cela aurait pu permettre l’accès à l’Instance Metadata Service (IMDS) d’Azure, permettant à un acteur malveillant d’obtenir des jetons d’accès à l’environnement, donnant ainsi accès à d’autres ressources partagées, telles qu’une base de données Cosmos, où sont stockées des informations sensibles concernant les parties internes de Copilot Studio.
Microsoft a confirmé que les mesures correctives pour ce problème étaient en place au 31 juillet 2024. Aucune action n’est requise de la part des clients.
