حمله جدید، Microsoft 365 Copilot را به ابزار سرقت اطلاعات با یک کلیک تبدیل کرد

مایکروسافت یک آسیب‌پذیری زنجیره‌ای بحرانی با نام «SearchLeak» را در سرویس Microsoft 365 Copilot Enterprise برطرف کرد که به مهاجمان اجازه می‌داد از طریق یک URL دستکاری‌شده، اطلاعات حساس کاربران از جمله محتوای ایمیل‌ها، رویدادهای تقویم، اسناد و فایل‌های OneDrive و SharePoint را به سرقت ببرند. این آسیب‌پذیری با شناسه CVE-2026-42824 ثبت شده و بالاترین سطح شدت (بحرانی) را دریافت کرده است. مایکروسافت این نقص را در ابتدای ماه جاری وصله کرد و هیچ اقدامی از سوی کاربران برای مقابله با این تهدید لازم نیست.

محققان شرکت امنیتی Varonis این حمله را با زنجیر کردن سه آسیب‌پذیری مجزا طراحی کردند: تزریق پارامتر به پرامپت (parameter-to-prompt injection)، یک شرایط رقابتی در رندر HTML، و دور زدن سیاست امنیت محتوا (CSP) از طریق جعل درخواست سمت سرور (SSRF) در سرویس Bing. در این حمله، قربانی تنها روی یک لینک کلیک می‌کند؛ Copilot دستورالعمل‌های تعبیه‌شده در پارامتر URL را اجرا کرده، داده‌های سرقت‌شده را در قالب یک تگ تصویر (image tag) جاسازی می‌کند و از طریق Bing به‌عنوان یک پروکسی ناخواسته، اطلاعات را به سرور مهاجم ارسال می‌کند؛ بدون آنکه کاربر هیچ نشانه‌ای از نشت داده مشاهده کند. Varonis هشدار داد که سیستم‌های هوش مصنوعی مسیرهای جدیدی برای بهره‌برداری از آسیب‌پذیری‌های قدیمی‌تر ایجاد کرده‌اند.