Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-94
  • CWE-862
  • CWE-1336

CVE-2026-61707

SOCFortress CoPilot rapor şablonlarında kayıtlı şablon enjeksiyonu ile sunucuda kod çalıştırma

socfortress CoPilot

Kritik 9,0 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapabilen düşük yetkili bir kullanıcının tüm müşterilerin güvenlik verilerini ele geçirmesine ve sunucuyu tamamen kontrol etmesine yol açabilir. Etkisi çok yüksektir ve sürüm güncellemesi hemen yapılmalıdır.

ÖzetTürkçe

SOCFortress CoPilot sürümlerinde, en düşük yetkili portal rolü olan customer_user kullanıcısı yüklediği rapor şablonlarını, bir yönetici veya analist rapor oluşturduğunda sunucuda çalıştırılabilecek biçimde kaydedebilmektedir. Şablon içeriği doğrulanmadığı ve Jinja2 ortamı sandbox dışında çalıştığı için saldırgan kontrolündeki ifadeler arka uçta Python olarak değerlendirilir. Düzeltme 0.1.76 sürümünde yapılmıştır; 0.1.76 öncesi tüm sürümler etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, bildirilen kurulumda root yetkisiyle komut çalıştırabilir; bu da tüm kiracıların olay ve SIEM verilerine ve kayıtlı bağlayıcı kimlik bilgilerine erişim anlamına gelir. Ayrıca HTML/PDF oluşturucusu üzerinden yerel dosya okunabilir ve dahili servislere istek gönderilebilir.

Kaynaktaki açıklama (İngilizce)

SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. Prior to 0.1.76, in the reported deployment, case-report templates uploaded by customer_user, the lowest-privilege portal role, are later executed by non-sandboxed Jinja2 engines when an admin or analyst generates a report. The /case-report-template/upload route in backend/app/incidents/routes/db_operations.py validates only the filename-derived MIME type, not the template content. Templates share a global store without customer_code scoping, and customer_user can also list, download and delete them, allowing an attacker to replace a legitimate default template under the same name. In backend/app/incidents/services/reports.py, render_document_with_context uses DocxTemplate without a sandbox; in backend/app/incidents/services/reports_pdf.py, render_html_template uses a non-sandboxed Environment without autoescaping. Normal privileged requests to POST /api/incidents/report/generate-report-docx or /generate-report-pdf therefore evaluate attacker-controlled Jinja expressions as Python on the backend. The reported deployment executes commands as root, exposing all tenants' incident and SIEM data and stored connector credentials. The HTML/PDF wkhtmltopdf renderer additionally permits local-file reads and requests to internal services. This issue is fixed in version 0.1.76.

Ne yapmalı?

  1. SOCFortress CoPilot uygulamasını 0.1.76 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeden önce customer_user rolüne ait rapor şablonu yükleme, listeleme, indirme ve silme yetkilerini geçici olarak kaldırın. Genel öneri
  3. Mevcut rapor şablonlarını, özellikle varsayılan şablonların değiştirilip değiştirilmediğini, güncellemeden önce ve sonra kontrol edin; şüpheli içerik varsa kaldırın ve varsayılan şablonları yeniden yükleyin. Genel öneri
  4. Sunucuda beklenmeyen süreçler, yeni kullanıcılar veya değiştirilmiş dosyalar olup olmadığını inceleyin; ihlal şüphesi varsa kayıtlı bağlayıcı kimlik bilgilerini döndürün. Genel öneri

Ek önlemler

  • Rapor şablonlarını müşteri koduna göre ayırın ve yalnızca yetkili rollerin yükleme yapabilmesini sağlayın. Genel öneri
  • Uygulama servisini root yetkisi yerine en az yetkili bir hesapla çalıştırın ve dosya sistemi erişimini kısıtlayın. Genel öneri
  • Rapor oluşturma isteklerini ve şablon yükleme olaylarını izleyerek alışılmadık etkinlikleri takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
socfortress CoPilot < 0.1.76 0.1.76

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.