CVE-2026-61729

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.4
EPSS: 0.4%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 30 Ekim 2026

SOCFortress CoPilot, tüm güvenlik operasyonları ihtiyaçlarınız için tek bir pencere sunmaya odaklanır. 0.1.76 sürümünden önce, `backend/app/active_response/routes/graylog.py` dosyasındaki `verify_graylog_header` ve `backend/app/incidents/routes/incident_alert.py` dosyasındaki `verify_velociraptor_header`, webhooks'ı `GRAYLOG_API_HEADER_VALUE` ve `VELOCIRAPTOR_API_HEADER_VALUE` ile aynı kamuyla sabitlenmiş geri dönüş değerine karşı doğrular. Aynı varsayılan değer `.env.example` dosyasında gönderilir. Ayarların hiçbirini ayarlamayan veya değiştirmeyen dağıtımlar, bilinen başlık değerine sahip anonim bir çağırıcının normal API'ler tarafından gereken JWT kimlik doğrulamasını atlamasına izin verir. `POST /api/graylog/invoke`, saldırgan tarafından seçilen `COMMAND`, `ACTION`, `VALUE` ve `AGENT_ID` değerlerini, kimliği doğrulanmış çağırma rotasının komut-enum doğrulaması olmadan yapılandırılan Wazuh yöneticisine iletir ve bu da aktif tepki betiklerinin uç noktaları bozmalarına ve savunma kontrollerini manipüle etmelerine olanak tanır. `POST /api/incidents/alerts/create/threshold` ve `POST /api/incidents/alerts/create/velo-sigma`, keyfi `customer_code` değerleri için sahte uyarıları kabul eder ve saldırgan tarafından kontrol edilen OpenSearch sorgularını çalıştırır. Aktif tepki teslimi, yapılandırılmış ve erişilebilen bir Wazuh yöneticisi gerektirir. Bağımsız olarak değiştirilmiş başlık gizli anahtarlarına sahip dağıtımlar, bu varsayılan gizli anahtar atlamasından etkilenmez. Bu sorun 0.1.76 sürümünde çözülmüştür.

Orijinal açıklama (İngilizce)

SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. Prior to 0.1.76, `verify_graylog_header` in `backend/app/active_response/routes/graylog.py` and `verify_velociraptor_header` in `backend/app/incidents/routes/incident_alert.py` authenticate webhooks against `GRAYLOG_API_HEADER_VALUE` and `VELOCIRAPTOR_API_HEADER_VALUE` with the same publicly hardcoded fallback. The same default is shipped in `.env.example`. Deployments that leave either setting unset or unchanged permit an anonymous caller with the known header value to bypass the JWT authentication required by normal APIs. `POST /api/graylog/invoke` forwards attacker-selected `COMMAND`, `ACTION`, `VALUE` and `AGENT_ID` to the configured Wazuh manager without the command-enum validation of the authenticated invocation route, allowing active-response scripts to disrupt endpoints and manipulate defensive controls. `POST /api/incidents/alerts/create/threshold` and `POST /api/incidents/alerts/create/velo-sigma` accept forged alerts for arbitrary `customer_code` values and drive attacker-controlled OpenSearch queries. Active-response delivery requires a configured reachable Wazuh manager. Deployments with independently changed header secrets are not subject to this default-secret bypass. This issue is fixed in version 0.1.76.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.