Varonis findet persönliche Copilot-Versagen, die die Ausführung per URL erlauben; Patch CVE-2026-24301

Varonis Threat Labs hat eine Forschung veröffentlicht, die drei Fehler in Microsoft Personal Copilot beschreibt, die nach Angaben der Firma einen einzigen Klick auf einen speziell manipulierten Link erlaubte, um eine Anleitung innerhalb der authentifizierten Sitzung des Benutzers auszuführen und in einigen Fällen Daten von angeschlossenen Diensten ohne zusätzliche sichtbare Wirkung von den Betroffenen zu extrahieren. Microsoft klassifizierte die Hauptverwundbarkeit als CVE-2026-24301 und implementierte Korrekturen am 18. August 2025; Varonis sagt, dass es das Problem im Dezember 2025 berichtet. Die von den Forschern spezifizierte Ware ist der Verbraucherassistent in wohnzimmer.de, und Varonis nicht das gleiche Verhalten zu Microsoft 365 Copilot in seiner öffentlichen Offenlegung.

Geprüft: Microsoft veröffentlichte die Korrektur und zugewiesen CVE-2026-24301 (siehe Microsoft offiziellen Sicherheitseintrag für Details). Varonis behauptet, bis zum Zeitpunkt seines Berichts keine Beweise für eine aktive Ausbeutung in realen Umgebungen gefunden zu haben. Es wird auch bestätigt, dass die Fehler zwei Vektoren beinhalten: automatische Ausführung von Aufforderungen pro URL und persistente Schriften im Speicher des Assistenten, wenn Sie manuelle Webseiten zusammenfassen.

In technischer Hinsicht nutzt die Angriffsroute, die Varonis gemeinsam "CoSnitch" nennt, einen URL-Parameter, der während der Tests vom Assistenten selbst offenbart wurde, nachdem er wiederholt über die Bedingungen fragte, die die Ausführung einer Aufforderung ohne Benutzereingriff ermöglichen würden - eine Technik, die Forscher "meta-hacking" nennen (die Fragen über die Regeln für das Modell zu offenbaren). Der beschriebene Fluss kombiniert den q-Parameter, der das Eingabefeld vorfüllt, mit einem zusätzlichen Parameter, der als autorun = 1 bezeichnet wird; das gleichzeitige Vorliegen beider würde dazu führen, dass der bereitgestellte Befehl beim Laden der Seite in die authentifizierte Sitzung des Benutzers automatisch ausgeführt wird.

Wesentliche technische Folge: wenn die automatische Ausführung erfolgt, wird die Anweisung mit den gleichen Privilegien durchgeführt, wie wenn der Benutzer selbst in dieser Sitzung geschrieben. Varonis zeigte, dass eine bösartige Anweisung Inhalte von bereits vom Benutzer autorisierten Diensten lesen kann (Mail, Kalender, Dateien, Chat-Geschichte und Einträge, die im Speicher des Assistenten gespeichert sind) und durch Copilots Fähigkeit, URLs zu wiederherstellen, zu packen und diese Daten auf eine Website zu übertragen, die vom Angreifer kontrolliert wird. Die Technik erteilt dem Angreifer keine neuen Berechtigungen; sie nutzt die vom Benutzer bereits erteilten Berechtigungen an den angeschlossenen Dienst.

In den gemeldeten Tests erhielt Varonis Nachrichtenkörper, Probleme und Metadaten von E-Mail- und E-Mail-Empfängern, Kalendertitel, Teilnehmer und Standorte, Namen und Dateimetadaten auf Google Drive, komplette Gesprächshistorien und Anweisungen, die in Copilots Gedächtnis gespeichert wurden. Zur Vermeidung von Muster-basierten Inspektions- und Detektionsregeln weist das Unternehmen darauf hin, dass der Datensender sie in Basis64 codieren kann, bevor er sie sendet, was Exfiltrationsanfragen auf Netzwerkebene sehr ähnlich den legitimen Anträgen macht, die Copilot bei der Zusammenfassung von Webseiten macht.

Der beschriebene zweite Vektor ist unabhängig: mittels einer sorgfältig aufgebauten Website, die von Copilots "summary" Funktion verarbeitet wird, kann ein Angreifer Anweisungen in den persistenten Speicher des Assistenten einfügen. Varonis gibt an, dass diese Einträge Passwörteränderungen, Session-Stornierung und erneute Gerätebindung überstehen können und in nachfolgenden Interaktionen aktiv bleiben, bis der Benutzer die Eingabe manuell aus der Speicherkonfiguration entfernt. Forscher weisen darauf hin, dass das Speicherschreiben keine Prozesse, Dateien, Netzwerkverbindungen oder Aufzeichnungseinträge erzeugt, die durch herkömmliche Sicherheitstools einfach zu erkennen sind; die Änderung ist in der Speicherschnittstelle des Copilots selbst beobachtbar.

Was wird bestätigt und was nicht: wird von Varonis bestätigt, dass die Kombination von Parametern erlaubt automatische Ausführung in ihren Tests und Microsoft hat einen Patch veröffentlicht. Es wird bestätigt, dass die von Copilot zugänglichen Daten auf das beschränkt sind, was das Benutzerkonto bereits sehen kann (nach Microsoft-Steckverbinderdokumentation). Es wird von Varonis berichtet, dass es keine Beweise für böswillige Verwendung im Feld gibt; dieser Punkt hängt von der öffentlichen Telemetrie ab und was Microsoft / Dritte erkannt und mitgeteilt haben. Es wird nicht öffentlich bestätigt, wenn die Korrekturen automatisch bösartige Einträge entfernt, die zuvor in betroffenen Erinnerungen vor dem Patch geschrieben wurden; Varonis hat diese Informationen nicht angegeben.

Für Benutzer und Administratoren sind die Auswirkungen praktisch und deutlich: ein gültiger Link kann für einen zugelassenen Assistenten ausreichen, sensible Daten offen zu legen, wenn die Benutzersitzung geöffnet ist. Das heißt, die Hauptabschwächung ist nicht nur, um Passwörter zu ändern (die Varonis sagt nicht beseitigen persistente Speicher), sondern um Berechtigungen und Inhalte zu überprüfen, die im Assistenten gespeichert sind, und die Belichtung an erster Stelle zu reduzieren.

Spezifische und anwendbare Empfehlungen jetzt (geprüft oder unterstützt von Varonis und nach Standard-Sicherheitspraktiken): Trennen oder widerrufen Sie den Zugriff auf Anwendungen und Dienstleistungen an Copilot, die nicht unbedingt erforderlich sind; überprüfen und löschen Sie Einträge im Speicherbereich von Copilot für Verbraucher; vermeiden Sie die Eröffnung unbekannter Links während einer Copilot-Sitzung im Browser aktiv ist; verwenden Sie private Navigationsfenster oder isolieren Sie Copilot-Sitzungen, wenn es erforderlich ist, um unverified Links zu besuchen; Varonis berät ausdrücklich, die angeschlossenen Dienste zu überprüfen und die unbenötigten zu trennen.

Für Unternehmen mit Microsoft 365 Copilot sollte die Antwort umfassen Audit: Microsoft hat Kontrollen und Aufzeichnungen für Speicher und Änderungen in Geschäftsumgebungen dokumentiert (einschließlich MemoryUpdated Records und Sentinel Fähigkeiten in Defender und Sentinel gemäß öffentlicher Dokumentation), so Sicherheitsteams sollten verwandte Protokolle und Warnungen zu konsultieren, um unerwartete Speicherskriptionen zu erkennen; Varonis betont jedoch, dass die gemeldete Forschung dem Verbraucherprodukt entspricht und dass die Schutz- und Telemetrie zwischen Produkten unterscheiden.

Operationelle und folgende Schritte: Es ist nicht öffentlich klar, ob die vor dem Patch erstellten schädlichen Speichereingänge automatisch durch die Korrektur gelöscht wurden oder ob sie manuelle Eingriffe durch den Benutzer oder Administrator erfordern. Es wird auch nicht bestätigt, ob es Varianten dieses Vektors gibt, die andere Editionen des Assistenten außerhalb der copilot.microsoft.comdomain beeinflussen. Benutzer müssen die Möglichkeit der Beharrlichkeit annehmen und entsprechend handeln.

Links zu vertiefen: Das Sicherheitsblatt im Microsoft Updates Guide (CVE-2026-24301) und das Copilot-Portal zur Überprüfung von Einstellungen und Speichern sind nützliche Startpunkte. Um Varonisss originelle Forschung und Empfehlungen zu folgen, siehe seinen technischen Kanal (das Unternehmen veröffentlichte den Bericht und technische Materialien auf der Suche).

Zusammenfassung: Die praktische Lehre von CoSnitch besteht darin, ein Höchstmaß an Sicherheit für IA-Besucher zu bestätigen - Ist der Assistent authentifiziert und berechtigt, auf Dienste zuzugreifen, kann seine Web-Schnittstelle eine Exfiltrationsfläche werden, wenn sie mit manipulierten URLs kombiniert wird.. Bewerben Sie Patches, reduzieren Sie Berechtigungen, Audit-Speicher und Misstrauenslinks im Rahmen von authentifizierten Sitzungen sind konkrete und dringende Maßnahmen zur Risikominderung.