SOCFortress CoPilot 發現硬編碼預設 Header 造成未授權活躍回應與警報注入漏洞（CVE-2026-61729）
CVE-2026-61729 - SOCFortress CoPilot: Hardcoded Default Header Secret - Unauthenticated Active-Response Invocation and Alert Injection
**SOCFortress CoPilot 在 0.1.76 之前的版本中，因硬編碼預設 Header，允許匿名呼叫者繞過 JWT 認證執行任意指令，造成未授權活躍回應與警報注入。
此漏洞揭示了 SOCFortress CoPilot 在 webhook 認證上存在硬編碼預設值，允許匿名呼叫者繞過 JWT 認證執行任意指令；建議即時升級至 0.1.76 並改用自訂 header，確保安全防護。此問題亦影響 Wazuh 及 OpenSearch 的活躍回應與警報注入，提醒企業需檢查 webhook 配置，並監控相關 API 呼叫，並確保系統完整性。
譯文尚未完整，完整內容請切換至原文。
SOCFortress CoPilot 旨在為您的所有安全作業需求提供一個統一的管理介面。於 0.1.76 之前，`verify_graylog_header`（位於 `backend/app/active_response/routes/graylog.py`）以及 `verify_velociraptor_header`（位於 `backend/app/incidents/routes/incident_alert.py`）會以相同的公開硬編碼回退值，對 `GRAYLOG_API_HEADER_VALUE` 與 `VELOCIRAPTOR_API_HEADER_VALUE` 進行 webhook 驗證。相同的預設值亦包含於 `.env.example`。若部署未設定或未更改任一設定，將允許擁有已知標頭值的匿名呼叫者繞過正常 API 所需的 JWT 認證。`POST /api/graylog/invoke` 會將攻擊者選擇的 `COMMAND`、`ACTION`、`VALUE` 與 `AGENT_ID` 轉發至已設定的 Wazuh 管理器，且不經過授權呼叫路徑的指令列舉驗證，從而允許活躍回應指令碼幹擾端點並操縱防禦控制。`POST /api/incidents/alerts/create/threshold` 與 `POST /api/incidents/alerts/create/velo-sigma` 會接受針對任意 `customer_code` 值偽造的警示，並驅動攻擊者控制的 OpenSearch 查詢。活躍回應交付需具備可達的 Wazuh 管理器。獨立更改標頭秘密的部署不受此預設秘密繞過影響。此問題已於 0.1.76 版修正。
影響
受影響產品
以下產品受到 CVE-2026-61729 漏洞影響。
即使 cvefeed.io 已知受影響產品的確切版本，資訊仍未在下表中呈現。
尚未記錄受影響產品
通用漏洞評分系統（Common Vulnerability Scoring System）是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們會收集並顯示各種來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | CRITICAL | MITRE-CVE | ||||
| CVSS 3.1 | CRITICAL | [email protected] |
更新至 0.1.76 版以修復身份驗證繞過漏洞。
- 更新 SOCFortress CoPilot 至 0.1.76 版。
- 更改預設硬編碼的標頭值。
- 確保 webhook 認證秘密唯一。
此處列出了精選的外部連結，提供深入資訊、實用解決方案及相關工具，關於CVE-2026-61729。
CVE 只識別漏洞的具體例項，而 CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-61729 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式描述了對手利用 CVE-2026-61729 弱點所採用的常見屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下清單為已在 GitHub 上發布的公開攻擊與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單列出在文章中提及 CVE-2026-61729 漏洞的新聞。
以下表格列出隨時間對 CVE-2026-61729 漏洞所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
新 CVE 已收到 By [email protected]
十月. 30, 2026
動作 型別 舊值 新值 新增 描述 SOCFortress CoPilot 專注於為所有安全作業需求提供單一面板。0.1.76 之前，`verify_graylog_header`（位於 `backend/app/active_response/routes/graylog.py`）與 `verify_velociraptor_header`（位於 `backend/app/incidents/routes/incident_alert.py`）會以相同的公開硬編碼回退值對 `GRAYLOG_API_HEADER_VALUE` 和 `VELOCIRAPTOR_API_HEADER_VALUE` 進行 webhook 驗證。相同的預設值也包含在 `.env.example` 中。若部署未設定或保持這些設定不變，會允許擁有已知標頭值的匿名呼叫者繞過正常 API 所需的 JWT 認證。`POST /api/graylog/invoke` 會將攻擊者選擇的 `COMMAND`、`ACTION`、`VALUE` 與 `AGENT_ID` 傳送至已設定的 Wazuh 管理員，且不經過已驗證呼叫路由的 command-enum 驗證，讓主動回應指令碼能夠擾亂端點並操縱防禦控制。`POST /api/incidents/alerts/create/threshold` 與 `POST /api/incidents/alerts/create/velo-sigma` 接受偽造的 alert，針對任意 `customer_code` 值執行攻擊者控制的 OpenSearch 查詢。主動回應的傳遞需要已設定且可達的 Wazuh 管理員。獨立更改標頭金鑰的部署不受此預設金鑰繞過影響。此問題已於 0.1.76 版修復。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H 新增 CWE CWE-798 新增 CWE CWE-306 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61729.json">CVE-2026-61729</a> 新增 參考 https://github.com/socfortress/CoPilot/commit/1b2c3f97243988301285b395ce4239769c66bd9e 新增 參考 https://github.com/socfortress/CoPilot/pull/939 新增 參考 https://github.com/socfortress/CoPilot/security/advisories/GHSA-x8gc-f8p4-frc2 新增 參考 https://github.com/socfortress/CoPilot/tree/v0.1.76
EPSS 是每日估計在接下來 30 天內觀察到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。