Descripción
SOCFortress CoPilot se enfoca en ofrecer un panel único para todas las necesidades de operaciones de seguridad. En versiones anteriores a 0.1.76, `verify_graylog_header` en `backend/app/active_response/routes/graylog.py` y `verify_velociraptor_header` en `backend/app/incidents/routes/incident_alert.py` autentican webhooks contra `GRAYLOG_API_HEADER_VALUE` y `VELOCIRAPTOR_API_HEADER_VALUE` con el mismo valor de respaldo embebido en el código y conocido públicamente. El mismo valor por defecto se incluye en `.env.example`. Las implementaciones que dejan cualquiera de estas configuraciones sin definir o sin modificar permiten que un solicitante anónimo que conozca el valor del encabezado omita la autenticación JWT requerida por las API normales. `POST /api/graylog/invoke` reenvía los valores `COMMAND`, `ACTION`, `VALUE` y `AGENT_ID` elegidos por el atacante al administrador de Wazuh configurado sin la validación de enumeración de comandos de la ruta de invocación autenticada, lo que permite que scripts de respuesta activa interrumpan endpoints y manipulen controles defensivos. `POST /api/incidents/alerts/create/threshold` y `POST /api/incidents/alerts/create/velo-sigma` aceptan alertas falsificadas para valores arbitrarios de `customer_code` y ejecutan consultas de OpenSearch controladas por el atacante. La entrega de respuestas activas requiere un administrador de Wazuh configurado y accesible. Las implementaciones con secretos de encabezado modificados de forma independiente no están sujetas a esta omisión mediante el secreto por defecto. Este problema está corregido en la versión 0.1.76.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- CoPilot Afectadas: < 0.1.76
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/socfortress/CoPilot/security/advisories/GHSA-x8gc-f8p4-frc2
- Referencia en github.comgithub.com/socfortress/CoPilot/pull/939
- Referencia en github.comgithub.com/socfortress/CoPilot/commit/1b2c3f97243988301285b395ce42397…
- Referencia en github.comgithub.com/socfortress/CoPilot/tree/v0.1.76
Ver el texto original en inglés (CVE.org)
SOCFortress CoPilot: Hardcoded Default Header Secret - Unauthenticated Active-Response Invocation and Alert Injection
SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. Prior to 0.1.76, `verify_graylog_header` in `backend/app/active_response/routes/graylog.py` and `verify_velociraptor_header` in `backend/app/incidents/routes/incident_alert.py` authenticate webhooks against `GRAYLOG_API_HEADER_VALUE` and `VELOCIRAPTOR_API_HEADER_VALUE` with the same publicly hardcoded fallback. The same default is shipped in `.env.example`. Deployments that leave either setting unset or unchanged permit an anonymous caller with the known header value to bypass the JWT authentication required by normal APIs. `POST /api/graylog/invoke` forwards attacker-selected `COMMAND`, `ACTION`, `VALUE` and `AGENT_ID` to the configured Wazuh manager without the command-enum validation of the authenticated invocation route, allowing active-response scripts to disrupt endpoints and manipulate defensive controls. `POST /api/incidents/alerts/create/threshold` and `POST /api/incidents/alerts/create/velo-sigma` accept forged alerts for arbitrary `customer_code` values and drive attacker-controlled OpenSearch queries. Active-response delivery requires a configured reachable Wazuh manager. Deployments with independently changed header secrets are not subject to this default-secret bypass. This issue is fixed in version 0.1.76.